{"text_format":"1","workbook":"xlsx","n_sheets":320,"sheets":["個別要求DB","確認項目DB","評価項目DB","評価DB","qryJoined_cache","qryFiltered","評価シートテンプレート","はじめに","prmSW_Selected","prmRole_Selected","prmEvalLevel","評価チェックリスト","自己評価宣言書","自己評価宣言書別紙","参考資料","評価事項一覧","用語集","S(1)-1.1.1.1.1","S(1)-1.1.1.1.2","S(1)-1.1.1.2.1","S(1)-1.1.1.2.2","S(1)-1.1.2.1.1","S(1)-1.1.2.1.2","S(1)-1.1.2.1.3","S(1)-1.1.2.2.1","S(1)-1.2.1.1.1","S(1)-1.2.1.1.2","S(1)-1.2.1.2.1","S(1)-1.2.2.1.1","S(1)-1.2.2.2.1","S(1)-1.3.1.1.1","S(1)-1.3.1.2.1","S(1)-1.4.1.1.1","S(1)-1.4.1.2.1","S(1)-1.4.1.2.2","S(1)-1.4.2.1.1","S(1)-1.4.2.1.2","S(1)-2.1.1.1.1","S(1)-2.1.1.2.1","S(1)-2.1.1.3.1","S(1)-2.1.1.3.2","S(1)-2.1.1.3.3","S(1)-2.1.2.1.1","S(1)-2.1.2.1.2","S(1)-2.1.3.1.1","S(1)-2.1.3.1.2","S(1)-2.2.1.1.1","S(1)-2.2.1.1.2","S(1)-2.2.2.1.1","S(1)-2.2.2.1.3","S(1)-2.3.1.1.1","S(1)-2.3.1.1.2","S(1)-2.3.1.1.3","S(1)-2.3.1.2.1","S(1)-2.3.1.2.2","S(1)-2.3.1.2.3","S(1)-2.3.1.3.1","S(1)-2.3.2.2.1","S(1)-2.3.2.3.1","S(1)-2.3.2.1.1","S(1)-2.4.1.1.1","S(1)-2.4.1.1.2","S(1)-3.1.1.1.1","S(1)-3.1.1.1.2","S(1)-3.1.1.1.3","S(1)-3.2.1.1.1","S(1)-3.3.1.1.1","S(1)-3.3.1.1.2","S(1)-3.3.1.2.1","S(1)-3.4.1.1.1","S(1)-3.4.1.1.2","S(1)-3.4.1.1.3","S(1)-4.1.1.1.1","S(1)-4.1.1.1.2","S(1)-4.1.1.2.1","S(1)-4.1.1.3.1","S(1)-4.1.1.3.2","S(1)-4.2.1.1.1","S(1)-4.2.1.1.2","S(1)-4.2.2.1.1","S(1)-4.2.2.1.2","S(1)-4.2.2.1.3","S(1)-4.3.1.1.1","S(1)-4.3.1.2.1","S(1)-4.3.1.2.2","S(1)-4.4.1.1.1","S(1)-4.4.2.1.1","S(1)-4.4.2.2.1","S(2)-1.1.1.1.1","S(2)-1.1.1.1.2","S(2)-1.1.1.2.1","S(2)-1.1.2.1.1","S(2)-1.1.2.1.2","S(2)-1.1.2.1.3","S(2)-1.1.2.2.1","S(2)-1.2.1.1.1","S(2)-1.2.1.2.1","S(2)-1.2.2.1.1","S(2)-1.2.2.1.2","S(2)-1.2.2.2.1","S(2)-1.2.2.2.2","S(2)-1.3.1.1.1","S(2)-1.3.1.1.2","S(2)-1.3.1.1.3","S(2)-1.3.1.2.1","S(2)-1.4.1.1.1","S(2)-1.4.1.1.2","S(2)-1.4.1.2.1","S(2)-1.4.2.1.1","S(2)-1.4.2.2.1","S(2)-1.5.1.1.1","S(2)-1.5.1.1.2","S(2)-1.5.1.1.3","S(2)-1.5.1.2.1","S(2)-1.5.2.1.1","S(2)-1.5.2.1.2","S(2)-2.1.1.1.1","S(2)-2.1.1.2.1","S(2)-2.2.1.1.1","S(2)-2.2.1.2.1","S(2)-2.3.1.1.1","S(2)-2.3.1.1.2","S(2)-2.3.1.2.1","S(2)-3.1.1.1.1","S(2)-3.1.2.1.1","S(2)-3.1.2.2.1","S(2)-3.1.2.3.1","S(2)-3.2.1.1.1","S(2)-3.3.1.1.1","S(2)-4.1.1.1.1","S(2)-4.1.1.2.1","S(2)-4.1.1.2.2","S(2)-4.1.2.1.1","S(2)-4.1.2.1.2","S(2)-4.2.1.1.1","S(2)-4.2.2.1.1","S(3)-1.1.1.1.1","S(3)-1.1.1.1.2","S(3)-1.1.2.1.1","S(3)-1.1.2.1.2","S(3)-1.1.2.2.1","S(3)-1.1.2.3.1","S(3)-1.1.2.3.2","S(3)-1.1.2.3.3","S(3)-1.2.1.1.1","S(3)-1.2.1.1.2","S(3)-1.2.1.2.1","S(3)-1.2.1.2.2","S(3)-1.3.1.1.1","S(3)-1.3.1.1.2","S(3)-1.3.1.2.1","S(3)-1.3.1.3.1","S(3)-1.3.2.1.1","S(3)-1.3.2.1.2","S(3)-1.3.2.2.1","S(3)-1.4.1.1.1","S(3)-1.4.1.1.2","S(3)-1.4.1.1.3","S(3)-2.1.1.1.1","S(3)-2.1.2.1.1","S(3)-2.1.2.1.2","S(3)-2.1.2.1.3","S(3)-2.2.1.1.1","S(3)-2.2.1.1.2","S(3)-2.2.1.2.1","S(3)-2.2.1.2.2","S(3)-2.2.2.1.1","S(3)-2.2.2.2.1","S(3)-2.3.1.1.1","S(3)-2.3.1.2.1","S(3)-2.3.2.1.1","S(3)-2.3.3.1.1","S(3)-2.3.3.1.2","S(3)-2.3.3.2.1","S(3)-2.3.3.2.2","S(3)-3.1.1.1.1","S(3)-3.1.1.1.2","S(3)-3.1.1.2.1","S(3)-3.2.1.1.1","S(3)-3.2.1.2.1","S(3)-3.2.1.2.2","S(4)-1.1.1.1.1","S(4)-1.1.1.2.1","S(4)-1.2.1.1.1","S(4)-1.2.1.2.1","S(4)-1.2.2.1.1","S(4)-1.2.2.2.1","S(4)-1.3.1.1.1","S(4)-1.3.1.2.1","S(4)-1.4.1.1.1","S(4)-1.4.2.1.1","S(4)-1.4.2.2.1","S(4)-1.5.1.1.1","S(4)-1.5.1.2.1","S(4)-1.5.2.1.1","S(4)-2.1.1.1.1","S(4)-2.1.1.1.2","S(4)-2.1.2.1.1","S(4)-2.1.2.1.2","S(4)-2.2.1.1.1","S(4)-2.2.1.1.2","S(4)-2.2.1.2.1","S(4)-2.2.1.2.2","S(4)-2.3.1.1.1","S(4)-2.3.1.1.2","S(4)-2.3.2.1.1","S(4)-2.3.2.1.2","S(4)-3.1.1.1.1","S(4)-3.1.1.1.2","S(4)-3.1.2.1.1","S(4)-3.1.2.1.2","S(4)-3.2.1.1.1","S(4)-3.2.1.1.2","S(4)-3.2.1.1.3","S(4)-3.2.1.1.4","S(4)-3.2.1.2.1","S(4)-3.2.1.2.2","S(4)-3.3.1.1.1","S(4)-3.3.2.1.1","S(4)-3.3.2.2.1","S(4)-4.1.1.1.1","S(4)-4.1.1.1.2","S(4)-4.1.2.1.1","S(4)-4.1.2.1.2","S(4)-4.1.2.2.1","S(4)-4.1.2.2.2","S(4)-4.2.1.1.1","S(4)-4.2.1.1.2","S(4)-4.2.2.1.1","S(4)-4.2.2.1.2","S(4)-4.3.1.1.1","S(4)-4.3.2.1.1","S(4)-4.3.2.2.1","S(4)-5.1.1.1.1","S(4)-5.1.1.1.2","S(4)-5.1.2.1.1","S(4)-5.1.2.1.2","S(4)-5.1.2.2.1","S(4)-5.2.1.1.1","S(4)-5.2.1.1.2","S(4)-5.2.1.2.1","S(4)-5.2.2.1.1","S(4)-5.2.2.1.2","S(4)-5.2.2.2.1","S(4)-5.2.2.2.2","S(4)-5.2.2.3.1","S(4)-5.2.2.3.2","S(4)-5.2.3.1.1","S(4)-5.2.3.1.2","S(4)-5.2.3.2.1","S(4)-5.2.3.2.2","S(4)-5.3.1.1.1","S(4)-5.3.1.1.2","S(4)-5.3.1.1.3","S(4)-6.1.1.1.1","S(4)-6.1.1.1.2","S(4)-6.1.1.1.3","S(4)-6.1.1.2.1","S(4)-6.1.1.2.2","S(4)-6.1.1.2.3","S(4)-6.1.1.2.4","S(4)-6.2.1.1.1","S(4)-6.2.1.1.2","S(4)-6.2.2.1.1","S(4)-6.2.2.1.2","S(4)-6.2.2.2.1","S(4)-6.2.2.2.2","S(4)-6.2.2.3.1","S(4)-6.2.2.3.2","S(5)-1.1.1.1.1","S(5)-1.1.1.2.1","S(5)-1.1.2.1.1","S(5)-1.1.2.2.1","S(5)-1.2.1.1.1","S(5)-1.2.1.1.2","S(5)-1.2.1.2.1","S(5)-1.2.1.2.2","S(5)-1.2.2.1.1","S(5)-1.2.2.1.2","S(5)-1.3.1.1.1","S(5)-1.3.1.2.1","S(5)-2.1.1.1.1","S(5)-2.1.1.1.2","S(5)-2.1.2.1.1","S(5)-2.1.2.1.2","S(5)-2.2.1.1.1","S(5)-2.2.1.1.2","S(6)-1.1.1.1.1","S(6)-1.1.1.2.1","S(6)-1.1.2.1.1","S(6)-1.1.2.1.2","S(6)-1.1.2.1.3","S(6)-1.1.2.1.4","S(6)-1.2.1.1.1","S(6)-1.2.1.1.2","S(6)-1.2.1.1.3","S(6)-1.2.1.1.4","S(6)-1.2.1.2.1","S(6)-1.2.1.2.2","S(6)-1.3.1.1.1","S(6)-1.3.1.1.2","S(6)-1.3.1.1.3","S(6)-1.3.1.2.1","S(6)-1.3.1.2.2","S(6)-2.1.1.1.1","S(6)-2.1.1.1.2","S(6)-2.1.1.1.3","S(6)-2.1.1.2.1","S(6)-2.1.1.2.2","S(6)-2.2.1.1.1","S(6)-2.2.1.2.1","S(6)-2.3.1.1.1","S(6)-2.3.1.2.1","S(6)-2.3.1.3.1","S(6)-2.4.1.1.1","S(6)-2.4.1.2.1","S(6)-2.4.1.2.2","S(6)-2.4.1.3.1","S(6)-2.4.1.3.2","_Lists"],"not_rendered":{"charts":0,"images":24,"macros":1,"external_links":0,"defined_names":339,"comments":0,"pivot_tables":0},"unopened":[],"bounds":{"document_bytes":16777216,"sheet_cells":100000,"rows_first":2000,"rows_last":500,"rows_between":2000,"halvings":0,"cell_chars":16384,"cell_head_chars":4096},"cells_cut":0,"cells_raw":0,"read":"whole","date_system":"1900"}

{"sheet":"個別要求DB","index":0,"n_rows":70,"n_cols":3,"rows_kept":70,"cut":false,"hidden":true,"merged":[]}
["要求ID","個別要求タイトル","個別要求"]
["S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"]
["S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"]
["S(1)-1.3","リスク対応記録","設計上の決定事項、リスクへの対応、承認された例外措置に関する記録を保持し、ソフトウェアのライフサイクル全体を通じて監査や保守の目的で使用できるように維持する。"]
["S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.2","セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.4","コードベース","レビュー及び分析の対象は、ソースコードのみでなく、可読性があると組織が決定したさまざまな形式のコード（設定ファイル等）も対象とする。"]
["S(1)-3.1","テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。"]
["S(1)-3.2","テスト方式","テスト方式には、機能テスト、脆弱性テスト、ファジング、侵入テストなどを含める。"]
["S(1)-3.3","テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。"]
["S(1)-3.4","問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。"]
["S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"]
["S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"]
["S(1)-4.3","セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。"]
["S(1)-4.4","モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。"]
["S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"]
["S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"]
["S(2)-1.3","ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。"]
["S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"]
["S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"]
["S(2)-2.1","コードベースの保護","全ての形式のコードベースを不正アクセスや改ざんから保護するために、リポジトリにコードや設定情報を保管し、承認された担当者、ツール、サービスなどのみがアクセスできるよう最小権限の原則に基づいたアクセス制御を実施する。"]
["S(2)-2.2","リリースのアーカイブ","リリース後に発見された脆弱性を分析、特定できるようにするために、各ソフトウェアのリリースをアーカイブ化して保護する。"]
["S(2)-2.3","リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。"]
["S(2)-3.1","セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。"]
["S(2)-3.2","サプライチェーンセキュリティ要求への対応\t","提供するIT 製品又はサービスを受領・取得する組織が採用するサプライチェーンセキュリティ要件と同等のサプライチェーンセキュリティ要件に対応する。"]
["S(2)-3.3","セキュリティ要件を満たさないリスクへの対処プロセスの整備","受領・取得するサードパーティ製のIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクに対処するプロセスを整備する。"]
["S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"]
["S(2)-4.2","整合性検証情報の提供","ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにする。"]
["S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"]
["S(3)-1.2","コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。"]
["S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"]
["S(3)-1.4","未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。"]
["S(3)-2.1","脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。"]
["S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。"]
["S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"]
["S(3)-3.1","根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。"]
["S(3)-3.2","プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。"]
["S(4)-1.1","役割と責務の定義","ソフトウェア開発ライフサイクルを網羅する役割と責務を定義する。"]
["S(4)-1.2","経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。"]
["S(4)-1.3","役割と責務の同意","各要員が、役割と責務を認識・同意していることを確認する。"]
["S(4)-1.4","各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。"]
["S(4)-1.5","役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。"]
["S(4)-2.1","ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。"]
["S(4)-2.3","費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。"]
["S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"]
["S(4)-3.3","運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。"]
["S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"]
["S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。"]
["S(4)-4.3","セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。"]
["S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.3","ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。"]
["S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。"]
["S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"]
["S(5)-1.1","情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。"]
["S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"]
["S(5)-1.3","脆弱性情報の通知サービスの利用","効率的に脆弱性情報の共有を図るため、脆弱性情報の通知サービスを利用する。"]
["S(5)-2.1","協力体制の活用","ソフトウェアの製品及びサービスのセキュリティを改善するために、外部の事業者、顧客、及び専門機関が参加するソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"]
["S(5)-2.2","協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。"]
["S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"]
["S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"]
["S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"]
["S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"]
["S(6)-2.2","セキュリティ慣行の要求開示","ソフトウェアの調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示する。"]
["S(6)-2.3","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。"]
["S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"]

{"sheet":"確認項目DB","index":1,"n_rows":110,"n_cols":8,"rows_kept":110,"cut":false,"hidden":true,"merged":[]}
["確認項目ID","確認項目","要求ID","ソフトウェア種別","役割.開発者","役割.供給者","役割.運用者","役割.顧客"]
["S(1)-1.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","S(1)-1.1","―","○"]
["S(1)-1.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","S(1)-1.1","―","○"]
["S(1)-1.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","S(1)-1.2","―","○"]
["S(1)-1.2.2","ソフトウェア設計において、レビュー結果を設計修正やリスク対応の変更等として反映していること。","S(1)-1.2","―","○"]
["S(1)-1.3.1","設計上の決定事項、リスク軽減の達成方法、承認された例外措置に関する記録をソフトウェアライフサイクル全体を通じて監査・保守目的で使用されるよう維持管理・共有していること。","S(1)-1.3","―","○"]
["S(1)-1.4.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","S(1)-1.4","―","○"]
["S(1)-1.4.2","セキュリティ要件に対する全ての例外処置を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認していること。","S(1)-1.4","―","○"]
["S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","S(1)-2.1","―","○"]
["S(1)-2.1.2","開発言語・開発環境に適したセキュアコーディングのためのプロセスを定義していること。","S(1)-2.1","―","○"]
["S(1)-2.1.3","ソフトウェアの利用者向けにデフォルトセキュアな設定を実装するためのプロセスを定義していること。","S(1)-2.1","―","○"]
["S(1)-2.2.1","定義したプロセスに従い、開発に適用するツールを選定していること。","S(1)-2.2","―","○"]
["S(1)-2.2.2","定義したプロセスに従い、開発に適用するツールを使用して、承認された構成に基づきビルドしていること。","S(1)-2.2","―","○"]
["S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3","―","○"]
["S(1)-2.3.2","特定された指摘事項、及び根本原因に対する対応結果をプロセスへフィードバックし、プロセスを必要に応じて更新していること。","S(1)-2.3","―","○"]
["S(1)-2.4.1","コードレビューとコード分析の対象を、組織が可読とみなすあらゆる形式のコードとしていること。","S(1)-2.4","―","○"]
["S(1)-3.1.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","S(1)-3.1","―","○"]
["S(1)-3.2.1","機能テスト、脆弱性テスト、ファジング、侵入テスト等から適切なテスト方式を選択していること。","S(1)-3.2","―","○"]
["S(1)-3.3.1","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","S(1)-3.3","―","○"]
["S(1)-3.4.1","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","S(1)-3.4","―","○",null,"○"]
["S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","S(1)-4.1","―",null,null,"○"]
["S(1)-4.2.1","リスクの影響を軽減するために、システムを適切に分離していること。","S(1)-4.2","―",null,null,"○"]
["S(1)-4.2.2","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","S(1)-4.2","―",null,null,"○"]
["S(1)-4.3.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","S(1)-4.3","―","○",null,"○"]
["S(1)-4.4.1","重要なサービスで動作するソフトウェアに適用したメカニズムの動作状況をモニタリングしていること。","S(1)-4.4","―",null,null,"○"]
["S(1)-4.4.2","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施し、評価結果を組織のリスク管理の枠組みに統合していること。","S(1)-4.4","―",null,null,"○"]
["S(2)-1.1.1","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","S(2)-1.1","―","○"]
["S(2)-1.1.2","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","S(2)-1.1","―","○"]
["S(2)-1.2.1","内製するソフトウェアコンポーネントに対するセキュリティ基準・慣行を、組織が確立していること。","S(2)-1.2","―","○"]
["S(2)-1.2.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","S(2)-1.2","―","○"]
["S(2)-1.3.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","S(2)-1.3","―","○"]
["S(2)-1.4.1","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","S(2)-1.4","―","○"]
["S(2)-1.4.2","各ソフトウェアコンポーネントのサポート期間が、EOLに達していないことを定期的に確認し、サポート期間が終了しているソフトウェアコンポーネント、または近い将来利用できなくなるソフトウェアコンポーネントに対する対応計画を策定していること。","S(2)-1.4","―","○"]
["S(2)-1.5.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","S(2)-1.5","―","○"]
["S(2)-1.5.2","導入した各ソフトウェアコンポーネントに存在する発見された対応すべき脆弱性を、当該ソフトウェアコンポーネントのサプライチェーン上で情報共有し、迅速なパッチ適用等により対処すること。","S(2)-1.5","―","○"]
["S(2)-2.1.1","全ての形式のコードベースをリポジトリに保存し、コードの性質に基づき最小限の原則に基づいてアクセスを制限していること。","S(2)-2.1","―","○","○"]
["S(2)-2.2.1","ソフトウェアリリース毎に保持が必要なインスタンスを脆弱性分析に活用できるようにアーカイブし、アクセスを制限していること。","S(2)-2.2","―","○","○"]
["S(2)-2.3.1","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","S(2)-2.3","―","○","○"]
["S(2)-3.1.1","事業者が外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を、外部調達先との合意事項とし、文書化していること。","S(2)-3.1","―","○","○","○"]
["S(2)-3.1.2","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","S(2)-3.1","―","○","○","○"]
["S(2)-3.2.1","IT製品又はサービスを提供する場合、提供先の組織が採用するサプライチェーンセキュリティ要件に対応又は準じていること。","S(2)-3.2","―","○","○","○"]
["S(2)-3.3.1","事業者が外部手配するソフトウェアコンポーネントとしてのIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクへの対処プロセスを整備していること。","S(2)-3.3","―","○","○","○"]
["S(2)-4.1.1","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","S(2)-4.1","―","○","○"]
["S(2)-4.1.2","ソフトウェア及びシステム・サービスの提供とともに、製品サポート内容、サポート終了予定日を調達者に継続的に伝達していること。","S(2)-4.1","―","○","○"]
["S(2)-4.2.1","供給者から顧客への流通経路においてソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。","S(2)-4.2","―","○","○"]
["S(2)-4.2.2","ソフトウェアのセキュアな配付メカニズムを整備し、その保護対策を実施していること。","S(2)-4.2","―","○","○"]
["S(3)-1.1.1","脆弱性の開示と是正に対処するポリシーを整備していること。","S(3)-1.1","―","○",null,"○"]
["S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","S(3)-1.1","―","○",null,"○"]
["S(3)-1.2.1","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","S(3)-1.2","―","○",null,"○"]
["S(3)-1.3.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","S(3)-1.3","―","○",null,"○"]
["S(3)-1.3.2","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","S(3)-1.3","―","○",null,"○"]
["S(3)-1.4.1","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","S(3)-1.4","―","○",null,"○"]
["S(3)-2.1.1","各脆弱性を分析、是正またはその他のリスク対応計画を検討するための十分な情報を収集していること。","S(3)-2.1","―","○"]
["S(3)-2.1.2","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","S(3)-2.1","―","○"]
["S(3)-2.2.1","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","S(3)-2.2","―","○"]
["S(3)-2.2.2","決定した対応アクションを実施していること。","S(3)-2.2","―","○"]
["S(3)-2.3.1","開発者は、脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告を作成し、ソフトウェアの供給先に提供していること。","S(3)-2.3","―","○","○","○"]
["S(3)-2.3.2","脆弱性届出制度に基づいて情報提供を受けた脆弱性については、情報セキュリティ早期警戒パートナーシップガイドラインを踏まえた対応を行っていること。","S(3)-2.3","―","○","○","○"]
["S(3)-2.3.3","運用者は、セキュリティ勧告にしたがった対策を実施していること。","S(3)-2.3","―",null,null,"○"]
["S(3)-3.1.1","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","S(3)-3.1","―","○",null,"○"]
["S(3)-3.2.1","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","S(3)-3.2","―","○",null,"○"]
["S(4)-1.1.1","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義し、ソフトウェア開発・供給・運用の全要員に対して割り当てていること。","S(4)-1.1","―","○","○","○"]
["S(4)-1.2.1","経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減への認識が高めていること。その上で、セキュア開発に対する経営層のコミットメントを得ていること。","S(4)-1.2","―","○","○","○"]
["S(4)-1.2.2","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュア開発・運用に関するコミットメントを周知し、組織にとってのセキュア開発・運用の重要性を教育していること。","S(4)-1.2","―","○","○","○"]
["S(4)-1.3.1","セキュアな開発・運用の役割と責務について各要員が理解し、同意しているか確認していること。","S(4)-1.3","―","○","○","○"]
["S(4)-1.4.1","セキュアな開発・運用のトレーニング計画に、習熟度と役割に応じた目標と成果の測定プロセス、各役割の望ましい結果達成に必要なトレーニングの種類やカリキュラムを含めていること。","S(4)-1.4","―","○","○","○"]
["S(4)-1.4.2","全要員に習熟度と役割に応じてトレーニングを提供していること。","S(4)-1.4","―","○","○","○"]
["S(4)-1.5.1","全ての役割について環境変化のタイミング、及び定期的にレビューを実施し、新しい役割作成、既存の役割の変更・維持を行っていること。","S(4)-1.5","―","○","○","○"]
["S(4)-1.5.2","トレーニング効果を測定し、トレーニングの変更が有益となる可能性のある領域を特定した上で、要員の習熟度と役割ベースのトレーニングを、必要に応じて更新していること。","S(4)-1.5","―","○","○","○"]
["S(4)-2.1.1","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-2.1","―","○"]
["S(4)-2.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","S(4)-2.1","―","○"]
["S(4)-2.2.1","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-2.2","―","○"]
["S(4)-2.3.1","経営層が、セキュア開発によるリスク軽減とコスト、影響を理解し、適切な予算を確保していること。","S(4)-2.3","―","○"]
["S(4)-2.3.2","経営層を含む関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債につながることを共通の経営リスクとして認識していること。","S(4)-2.3","―","○"]
["S(4)-3.1.1","運用者が、SDLC全体を通じたソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.1","―",null,null,"○"]
["S(4)-3.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","S(4)-3.1","―",null,null,"○"]
["S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.2","―",null,null,"○"]
["S(4)-3.3.1","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を実施していること。","S(4)-3.3","―",null,null,"○"]
["S(4)-3.3.2","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を通じて検出された指摘に対応することで、ガバナンスの確立を図っていること。","S(4)-3.3","―",null,null,"○"]
["S(4)-4.1.1","ソフトウェアセキュリティ確認基準を定義していること。","S(4)-4.1","―","○",null,"○"]
["S(4)-4.1.2","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","S(4)-4.1","―","○",null,"○"]
["S(4)-4.2.1","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集するプロセス、メカニズム、ツール等を実装していること。","S(4)-4.2","―","○",null,"○"]
["S(4)-4.2.2","収集情報へのアクセスを承認された担当者に限定し、意図しない情報変更や削除を防止していること。","S(4)-4.2","―","○",null,"○"]
["S(4)-4.3.1","セキュリティ確認基準への適合に関わる監査体制とプロセスを整備していること。","S(4)-4.3","―","○",null,"○"]
["S(4)-4.3.2","セキュリティ上の確認基準への適合に関する監査を通じて検出された指摘に対応することで、セキュアなソフトウェアとそのための開発・運用プロセスを定期的又は継続的に改善していること。","S(4)-4.3","―","○",null,"○"]
["S(4)-5.1.1","ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクを軽減するため、ツールチェーン内のカテゴリを定義し、各カテゴリで使用する必須ツールを指定していること。","S(4)-5.1","―","○"]
["S(4)-5.1.2","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","S(4)-5.1","―","○"]
["S(4)-5.2.1","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","S(4)-5.2","―","○"]
["S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","S(4)-5.2","―","○"]
["S(4)-5.2.3","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","S(4)-5.2","―","○"]
["S(4)-5.3.1","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","S(4)-5.3","―","○"]
["S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","S(4)-6.1","―","○",null,"○"]
["S(4)-6.2.1","開発環境及び開発用エンドポイントの保護・強化方法を選定するために、リスク分析を実施していること。","S(4)-6.2","―","○"]
["S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","S(4)-6.2","―","○"]
["S(5)-1.1.1","ソフトウェア及びサービスに関連する法的要件、業界標準及び、ベストプラクティスに適合した、情報連携を実施するためのポリシーを整備していること。","S(5)-1.1","―","○","○","○"]
["S(5)-1.1.2","組織のポリシーに基づき、役割・プロセスを整備していること。","S(5)-1.1","―","○","○","○"]
["S(5)-1.2.1","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","S(5)-1.2","―","○","○","○"]
["S(5)-1.2.2","連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報を明確に定義していること。","S(5)-1.2","―","○","○","○"]
["S(5)-1.3.1","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みを活用し、サプライチェーンでの脆弱性情報共有の仕組みを構築していること。","S(5)-1.3","―","○","○","○"]
["S(5)-2.1.1","ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析する業界団体やコミュニティへ参加していること。","S(5)-2.1","―","○","○","○"]
["S(5)-2.1.2","業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し、ソフトウェア製品及びサービスのセキュリティに関する知識・スキルを向上させる等自組織の取組に活用していること。","S(5)-2.1","―","○","○","○"]
["S(5)-2.2.1","業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","S(5)-2.2","―","○","○","○"]
["S(6)-1.1.1","顧客がオーナーシップを持つシステム全体及びソフトウェアのリスク管理に対して顧客自身が責任を持ち、独立した主体的な取組を実施していること。","S(6)-1.1","―",null,null,null,"○"]
["S(6)-1.1.2","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","S(6)-1.1","―",null,null,null,"○"]
["S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","S(6)-1.2","―",null,null,null,"○"]
["S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","S(6)-1.3","―",null,null,null,"○"]
["S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","S(6)-2.1","―",null,null,null,"○"]
["S(6)-2.2.1","サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示していること。","S(6)-2.2","―",null,null,null,"○"]
["S(6)-2.3.1","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","S(6)-2.3","―",null,null,null,"○"]
["S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","S(6)-2.4","―",null,null,null,"○"]

{"sheet":"評価項目DB","index":2,"n_rows":185,"n_cols":5,"rows_kept":185,"cut":false,"hidden":true,"merged":[]}
["評価項目ID","評価項目","要求ID","確認項目ID","参照すべき規程・ガイドとの関係"]
["S(1)-1.1.1.1","評価項目１：リスクの分析・評価の結果が存在すること。","S(1)-1.1","S(1)-1.1.1","SP800-218：PW.1.1"]
["S(1)-1.1.1.2","評価項目２：リスクの分析・評価の手法が特定していること。","S(1)-1.1","S(1)-1.1.1","SP800-218：PW.1.1"]
["S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","S(1)-1.1","S(1)-1.1.2","SP800-218：PW.1.2"]
["S(1)-1.1.2.2","評価項目２：ソフトウェアのセキュリティ要件を定義していること。","S(1)-1.1","S(1)-1.1.2","SP800-218：PW.1.2"]
["S(1)-1.2.1.1","評価項目１：設計レビューの観点と方法を特定していること。","S(1)-1.2","S(1)-1.2.1","SP800-218：PW.2.1"]
["S(1)-1.2.1.2","評価項目２：設計レビューの結果が存在すること。","S(1)-1.2","S(1)-1.2.1","SP800-218：PW.2.1"]
["S(1)-1.2.2.1","評価項目１：設計レビュー結果に基づいた設計修正の対応記録が存在すること。","S(1)-1.2","S(1)-1.2.2","SP800-218：PW.2.1"]
["S(1)-1.2.2.2","評価項目２：設計レビュー結果に基づいたリスク対応戦略の変更に関する記録が存在すること。","S(1)-1.2","S(1)-1.2.2","SP800-218：PW.2.1"]
["S(1)-1.3.1.1","評価項目１：ソフトウェアの設計に関係するリスク対応活動の記録が存在すること。","S(1)-1.3","S(1)-1.3.1","SP800-218：PW.1.2"]
["S(1)-1.3.1.2","評価項目２：リスク対応活動の記録を維持管理・共有していること。","S(1)-1.3","S(1)-1.3.1","SP800-218：PW.1.2"]
["S(1)-1.4.1.1","評価項目１：リスク分析・評価結果の定期的なレビュー結果が存在すること。","S(1)-1.4","S(1)-1.4.1","SP800-218：PW.1.2、PW.2.1"]
["S(1)-1.4.1.2","評価項目２：セキュリティリスクの対処方法の定期的な確認結果が存在すること。","S(1)-1.4","S(1)-1.4.1","SP800-218：PW.1.2、PW.2.1"]
["S(1)-1.4.2.1","評価項目１：例外処置によるリスクの対処方法の定期的な確認結果が存在すること。","S(1)-1.4","S(1)-1.4.2","SP800-218：PW.1.2"]
["S(1)-2.1.1.1","評価項目１：適用する開発言語・開発環境が関連する脆弱性をチェックしていること。","S(1)-2.1","S(1)-2.1.1","SP800-218：PW.5.1、PW.6.1"]
["S(1)-2.1.1.2","評価項目２：開発言語・開発環境の選定・更新プロセスを定義していること。","S(1)-2.1","S(1)-2.1.1","SP800-218：PW.5.1、PW.6.1"]
["S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","S(1)-2.1","S(1)-2.1.1","SP800-218：PW.5.1、PW.6.1"]
["S(1)-2.1.2.1","評価項目１：適用するセキュアコーディングプロセスを定義していること。","S(1)-2.1","S(1)-2.1.2","SP800-218：PW.5.1、OWASP Secure Coding Practices、CERT Coding Standards、IPA セキュアプログラミング講座等"]
["S(1)-2.1.3.1","評価項目１：適用するデフォルトセキュアプロセスを定義していること。","S(1)-2.1","S(1)-2.1.3","SP800-218：PW.9.2"]
["S(1)-2.2.1.1","評価項目１：定義したプロセスに従って、ツールを選定していること。","S(1)-2.2","S(1)-2.2.1","SP800-218：PW.6.1"]
["S(1)-2.2.2.1","評価項目１：定義したプロセスに従って、承認された構成でツールを使用し、実行可能形式をビルドしていること。","S(1)-2.2","S(1)-2.2.2","SP800-218：PW.6.2"]
["S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","S(1)-2.3","S(1)-2.3.1","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","S(1)-2.3","S(1)-2.3.1","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.1.3","評価項目３：コードレビュー・分析結果の検証により発見された問題の根本原因を特定していること。","S(1)-2.3","S(1)-2.3.1","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.2.1","評価項目１：問題の指摘事項をプロセスにフィードバックした記録が存在すること。","S(1)-2.3","S(1)-2.3.2","SP800-218：PW.7.2"]
["S(1)-2.3.2.2","評価項目２：問題の根本原因に対する対応結果を、プロセスにフィードバックした記録が存在すること。","S(1)-2.3","S(1)-2.3.2","SP800-218：PW.7.2"]
["S(1)-2.3.2.3","評価項目３：問題の根本原因への対応を踏まえ、プロセスを更新した記録が存在すること。","S(1)-2.3","S(1)-2.3.2","SP800-218：PW.7.2"]
["S(1)-2.4.1.1","評価項目１：コードレビュー・分析の対象とするコードベースを漏れなく特定していること。","S(1)-2.4","S(1)-2.4.1","SP800-218：PW.7.2"]
["S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","S(1)-3.1","S(1)-3.1.1","SP800-218：PW.8.1"]
["S(1)-3.2.1.1","評価項目１：セキュリティテストのテスト方式を特定していること。","S(1)-3.2","S(1)-3.2.1","SP800-218：PW.8.1、PW.8.2"]
["S(1)-3.3.1.1","評価項目１：セキュリティに特化したテスト計画に基づき、テストを設計、実施していること。","S(1)-3.3","S(1)-3.3.1","SP800-218：PW.8.2"]
["S(1)-3.3.1.2","評価項目２：セキュリティテストの結果を文書化していること。","S(1)-3.3","S(1)-3.3.1","SP800-218：PW.8.2"]
["S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","S(1)-3.4","S(1)-3.4.1","SP800-218：PW.8.2"]
["S(1)-4.1.1.1","評価項目１：資産管理手順が存在すること。","S(1)-4.1","S(1)-4.1.1","SP800-218：PW.9.1\nDSP 1.1"]
["S(1)-4.1.1.2","評価項目２：資産リストが存在すること。","S(1)-4.1","S(1)-4.1.1","SP800-218：PW.9.1\nDSP 1.1"]
["S(1)-4.1.1.3","評価項目３：資産のセキュアな構成を維持していること。","S(1)-4.1","S(1)-4.1.1","SP800-218：PW.9.1\nDSP 1.1"]
["S(1)-4.2.1.1","評価項目１：リスクの影響を考慮してシステムを分離していること。","S(1)-4.2","S(1)-4.2.1","SP800-218：PO.5.1\nDSP 1.2"]
["S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","S(1)-4.2","S(1)-4.2.2","SP800-218：PW.5.1\nDSP 2.1"]
["S(1)-4.3.1.1","評価項目１：セキュリティメカニズムを実装していること。","S(1)-4.3","S(1)-4.3.1","SP800-218：PO.5.2\nDSP 2.1"]
["S(1)-4.3.1.2","評価項目２：セキュリティメカニズムのモニタリング環境を整備していること。","S(1)-4.3","S(1)-4.3.1","SP800-218：PO.5.2\nDSP 2.1"]
["S(1)-4.4.1.1","評価項目１：メカニズムの動作状況をモニタリングした記録が存在すること。","S(1)-4.4","S(1)-4.4.1","DSP 2.1"]
["S(1)-4.4.2.1","評価項目１：定期的に実施したセキュリティ評価結果が存在すること。","S(1)-4.4","S(1)-4.4.2","DSP 2.1"]
["S(1)-4.4.2.2","評価項目２：セキュリティ評価結果を運用組織のリスク管理の枠組みで対処した記録が存在すること。","S(1)-4.4","S(1)-4.4.2","DSP 2.1"]
["S(2)-1.1.1.1","評価項目１：標準化されたセキュリティ機能とサービスを使用するために、組織が定めたセキュリティ要件を定義していること。","S(2)-1.1","S(2)-1.1.1","SP800-218：PW.1.3"]
["S(2)-1.1.1.2","評価項目２：外製ソフトウェアコンポーネントをセキュアに手配するために、組織が定めた要件を定義していること。","S(2)-1.1","S(2)-1.1.1","SP800-218：PW.1.3"]
["S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","S(2)-1.1","S(2)-1.1.2","SP800-218：PW.4.1"]
["S(2)-1.1.2.2","評価項目２：外製ソフトウェアコンポーネントに関する選定結果が存在すること。","S(2)-1.1","S(2)-1.1.2","SP800-218：PW.4.1"]
["S(2)-1.2.1.1","評価項目１：ソフトウェアコンポーネントの内製化に適用する組織のセキュリティ基準が存在すること。","S(2)-1.2","S(2)-1.2.1","SP800-218：PW.4.2"]
["S(2)-1.2.1.2","評価項目２：ソフトウェアコンポーネントの内製化に適用する、セキュアなソフトウェア開発に資する組織のセキュリティ慣行を特定していること。","S(2)-1.2","S(2)-1.2.1","SP800-218：PW.4.2"]
["S(2)-1.2.2.1","評価項目１：内製ソフトウェアコンポーネントリストが存在すること。","S(2)-1.2","S(2)-1.2.2","SP800-218：PW.4.2"]
["S(2)-1.2.2.2","評価項目２：内製ソフトウェアコンポーネントのセキュアな構成に関する情報を管理・共有していること。","S(2)-1.2","S(2)-1.2.2","SP800-218：PW.4.2"]
["S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","S(2)-1.3","S(2)-1.3.1","SP800-218：PW.4.1"]
["S(2)-1.3.1.2","評価項目２：ソフトウェアコンポーネントの出所情報に基づき、リスク評価した結果が存在すること。","S(2)-1.3","S(2)-1.3.1","SP800-218：PW.4.1"]
["S(2)-1.4.1.1","評価項目１：ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果が存在すること。","S(2)-1.4","S(2)-1.4.1","SP800-218：PW.4.4"]
["S(2)-1.4.1.2","評価項目２：ソフトウェアコンポーネントに対する未修正の脆弱性情報とその対応結果を管理していること。","S(2)-1.4","S(2)-1.4.1","SP800-218：PW.4.4"]
["S(2)-1.4.2.1","評価項目１：ソフトウェアコンポーネントのサポート期間（EOL）の定期的な確認結果が存在すること。","S(2)-1.4","S(2)-1.4.2","SP800-218：PW.4.4、RV.2.1"]
["S(2)-1.4.2.2","評価項目２：ソフトウェアコンポーネントのサポート期間（EOL）及びサポート終了（EOS）に基づく対応計画が存在すること。","S(2)-1.4","S(2)-1.4.2","SP800-218：PW.4.4、RV.2.1"]
["S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","S(2)-1.5","S(2)-1.5.1","SP800-218：PW.4.1"]
["S(2)-1.5.1.2","評価項目２：ソフトウェアコンポーネントのバージョン移行を定義したプロセスを導入していること。","S(2)-1.5","S(2)-1.5.1","SP800-218：PW.4.1"]
["S(2)-1.5.2.1","評価項目１：ソフトウェアコンポーネントの対応すべき脆弱性情報を、サプライチェーン上で共有する手続きが存在すること。","S(2)-1.5","S(2)-1.5.2","EU CRA ANNEX I Part II（6）\nNSA Developer 2.3.4\nNSA Supplier 2.4.1\nSP800-218：RV.1.3"]
["S(2)-2.1.1.1","評価項目１：全ての形式のコードベースをリポジトリに保存した記録が存在すること。","S(2)-2.1","S(2)-2.1.1","SP800-218：PS.1.1"]
["S(2)-2.1.1.2","評価項目２：コードの性質に基づいてアクセスを制限していること。","S(2)-2.1","S(2)-2.1.1","SP800-218：PS.1.1"]
["S(2)-2.2.1.1","評価項目１：ソフトウェアの各リリースのインスタンスをアーカイブしていること。","S(2)-2.2","S(2)-2.2.1","SP800-218：PS.3.1"]
["S(2)-2.2.1.2","評価項目２：アーカイブしたインスタンスに対するアクセスを制限していること。","S(2)-2.2","S(2)-2.2.1","SP800-218：PS.3.1"]
["S(2)-2.3.1.1","評価項目１：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集・保護する記録が存在すること。","S(2)-2.3","S(2)-2.3.1","SP800-218：PS.3.2"]
["S(2)-2.3.1.2","評価項目２：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を維持管理・共有していること。","S(2)-2.3","S(2)-2.3.1","SP800-218：PS.3.2"]
["S(2)-3.1.1.1","評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を合意事項とした文書が存在すること。","S(2)-3.1","S(2)-3.1.1","SP800-218：PO.1.3"]
["S(2)-3.1.2.1","評価項目１：サプライチェーン・リスクを軽減するためのサプライチェーンセキュリティ要件を定義していること。","S(2)-3.1","S(2)-3.1.2","SP800-218：PO.1.3"]
["S(2)-3.1.2.2","評価項目２：ソフトウェアコンポーネントの手配プロセスを定義していること。","S(2)-3.1","S(2)-3.1.2","SP800-218：PO.1.3"]
["S(2)-3.1.2.3","評価項目３：定義したソフトウェアコンポーネントの手配プロセスを実施した記録が存在すること。","S(2)-3.1","S(2)-3.1.2","SP800-218：PO.1.3"]
["S(2)-3.2.1.1","評価項目１：サプライチェーン・リスクを低減するためのサプライチェーンセキュリティ要件又はこの要件に準じることに合意した記録が存在すること。","S(2)-3.2","S(2)-3.2.1","SP800-218：PO.1.3、PW.4.4"]
["S(2)-3.3.1.1","評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスが満たせないセキュリティ要件がある場合のリスク対処プロセスを定義していること。","S(2)-3.3","S(2)-3.3.1","SP800-218：PO.1.3、PW.4.2"]
["S(2)-4.1.1.1","評価項目１：実装したセキュアなデフォルト設定に関する管理者向けガイダンスを文書化し、調達者に提供していること。","S(2)-4.1","S(2)-4.1.1","SP800-218：PW.9.2"]
["S(2)-4.1.1.2","評価項目２：ソフトウェアのセキュアな導入・設定・操作・廃棄に関するガイダンスを文書化し、調達者に提供していること。","S(2)-4.1","S(2)-4.1.1","SP800-218：PW.9.2"]
["S(2)-4.1.2.1","評価項目１：製品サポート内容・サポート終了予定日を調達者に継続的に伝達していること。","S(2)-4.1","S(2)-4.1.2","SP800-218：PW.9.2"]
["S(2)-4.2.1.1","評価項目１：ソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。","S(2)-4.2","S(2)-4.2.1","SP800-218：PS.2.1"]
["S(2)-4.2.2.1","評価項目１：ソフトウェアのセキュアな配付メカニズムを整備していること。","S(2)-4.2","S(2)-4.2.2","SP800-218：PS.2.1"]
["S(3)-1.1.1.1","評価項目１：脆弱性の開示と是正に関するポリシー文書が存在すること。","S(3)-1.1","S(3)-1.1.1","SP800-218：RV.1.3"]
["S(3)-1.1.2.1","評価項目１：脆弱性対応に関する対応体制を定義していること。","S(3)-1.1","S(3)-1.1.2","SP800-218：RV.1.3"]
["S(3)-1.1.2.2","評価項目２：脆弱性対応に関する役割と責務を定義していること。","S(3)-1.1","S(3)-1.1.2","SP800-218：RV.1.3"]
["S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","S(3)-1.1","S(3)-1.1.2","SP800-218：RV.1.3"]
["S(3)-1.2.1.1","評価項目１：脆弱性対応に関するコミュニケーション計画が存在すること。","S(3)-1.2","S(3)-1.2.1","SP800-218：RV.1.1, RV.1.3"]
["S(3)-1.2.1.2","評価項目２：コミュニケーションチャネルを整備していること。","S(3)-1.2","S(3)-1.2.1","SP800-218：RV.1.1, RV.1.3"]
["S(3)-1.3.1.1","評価項目１：公知の脆弱性情報源及び脅威インテリジェンスの監視結果が存在すること。","S(3)-1.3","S(3)-1.3.1","SP800-218：RV.1.1"]
["S(3)-1.3.1.2","評価項目２：サプライチェーンからの脆弱性情報を受領した結果が存在すること。","S(3)-1.3","S(3)-1.3.1","SP800-218：RV.1.1"]
["S(3)-1.3.1.3","評価項目３：ソフトウェア調達者及び利用者からの脆弱性情報を受領した結果が存在すること。","S(3)-1.3","S(3)-1.3.1","SP800-218：RV.1.1"]
["S(3)-1.3.2.1","評価項目１：収集対象のコンポーネントを特定していること。","S(3)-1.3","S(3)-1.3.2","SP800-218：RV.1.1"]
["S(3)-1.3.2.2","評価項目２：特定したコンポーネント分析から潜在的脆弱性情報を収集した結果が存在する。","S(3)-1.3","S(3)-1.3.2","SP800-218：RV.1.1"]
["S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","S(3)-1.4","S(3)-1.4.1","SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2"]
["S(3)-2.1.1.1","評価項目１：収集し識別した脆弱性について、リスク分析や対応計画の検討に必要な情報が存在すること。","S(3)-2.1","S(3)-2.1.1","SP800-218：RV.2.1"]
["S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","S(3)-2.1","S(3)-2.1.2","SP800-218：RV.2.1"]
["S(3)-2.2.1.1","評価項目１：リスク分析・評価の結果に基づく脆弱性への対応方針が存在すること。","S(3)-2.2","S(3)-2.2.1","SP800-218：RV.2.2"]
["S(3)-2.2.1.2","評価項目２：決定した対応方針に基づく対応計画が存在すること。","S(3)-2.2","S(3)-2.2.1","SP800-218：RV.2.2"]
["S(3)-2.2.2.1","評価項目１：識別した脆弱性に対するリスク対応を実施していること。","S(3)-2.2","S(3)-2.2.2","SP800-218：RV.2.2"]
["S(3)-2.2.2.2","評価項目２：脆弱性対応の実装後のテスト・検証結果が文書化されていること。","S(3)-2.2","S(3)-2.2.2","SP800-218：RV.2.2"]
["S(3)-2.3.1.1","評価項目１：セキュリティ勧告が存在すること。","S(3)-2.3","S(3)-2.3.1","SP800-218：RV.2.2"]
["S(3)-2.3.1.2","評価項目２：セキュリティ勧告を供給先に提供するプロセスに従って提供していること。","S(3)-2.3","S(3)-2.3.1","SP800-218：RV.2.2"]
["S(3)-2.3.2.1","評価項目１：脆弱性届出制度から情報提供を受けた際の対応手順が存在すること。","S(3)-2.3","S(3)-2.3.2","SP800-218：RV.1.3"]
["S(3)-2.3.3.1","評価項目１：セキュリティ勧告の影響評価の結果が存在すること。","S(3)-2.3","S(3)-2.3.3","SP800-218：RV.2.2"]
["S(3)-2.3.3.2","評価項目２：評価結果に基づく対策の計画と実施結果が存在すること。","S(3)-2.3","S(3)-2.3.3","SP800-218：RV.2.2"]
["S(3)-3.1.1.1","評価項目１：脆弱性の根本原因を分析・特定した結果が存在すること。","S(3)-3.1","S(3)-3.1.1","SP800-218：RV.3.1, RV.3.2"]
["S(3)-3.1.1.2","評価項目２：脆弱性の発生頻度低減を目的とした活動の計画と実施記録が存在すること。","S(3)-3.1","S(3)-3.1.1","SP800-218：RV.3.1, RV.3.2"]
["S(3)-3.2.1.1","評価項目１：更新したプロセスを定義していること。","S(3)-3.2","S(3)-3.2.1","SP800-218：RV.3.4"]
["S(3)-3.2.1.2","評価項目２：再発防止策の実装に関する記録が存在すること。","S(3)-3.2","S(3)-3.2.1","SP800-218：RV.3.4"]
["S(4)-1.1.1.1","評価項目１：ソフトウェア開発ライフサイクルの全ての役割と責務が定義されていること。","S(4)-1.1","S(4)-1.1.1","SP800-218：PO.2.1"]
["S(4)-1.1.1.2","評価項目２：ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていること。","S(4)-1.1","S(4)-1.1.1","SP800-218：PO.2.1"]
["S(4)-1.2.1.1","評価項目１：経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュア開発によるリスク軽減への認識を高める活動を実施した記録が存在すること。","S(4)-1.2","S(4)-1.2.1","SP800-218：PO.2.3"]
["S(4)-1.2.1.2","評価項目２：セキュア開発に対して経営層がコミットしていること。","S(4)-1.2","S(4)-1.2.1","SP800-218：PO.2.3"]
["S(4)-1.2.2.1","評価項目１：セキュアな開発・運用へのコミットメントを周知していること。","S(4)-1.2","S(4)-1.2.2","SP800-218：PO.2.3"]
["S(4)-1.2.2.2","評価項目２：組織にとってのセキュア開発の重要性を教育していること。","S(4)-1.2","S(4)-1.2.2","SP800-218：PO.2.3"]
["S(4)-1.3.1.1","評価項目１：役割と責務について各要員が理解していることを示す記録が存在すること。","S(4)-1.3","S(4)-1.3.1","SP800-218：PO.2.1"]
["S(4)-1.3.1.2","評価項目２：各要員が役割と責務について同意していることを確認した記録が存在すること。","S(4)-1.3","S(4)-1.3.1","SP800-218：PO.2.1"]
["S(4)-1.4.1.1","評価項目１：トレーニング計画が存在すること。","S(4)-1.4","S(4)-1.4.1","SP800-218：PO.2.2"]
["S(4)-1.4.2.1","評価項目１：トレーニングコンテンツが存在すること。","S(4)-1.4","S(4)-1.4.2","SP800-218：PO.2.2"]
["S(4)-1.4.2.2","評価項目２：トレーニングを提供した記録が存在すること。","S(4)-1.4","S(4)-1.4.2","SP800-218：PO.2.2"]
["S(4)-1.5.1.1","評価項目１：新しい役割作成、既存役割の見直しに関する手続きが存在すること。","S(4)-1.5","S(4)-1.5.1","SP800-218：PO.2.1"]
["S(4)-1.5.1.2","評価項目２：新しい役割作成、既存役割の見直した記録が存在すること。","S(4)-1.5","S(4)-1.5.1","SP800-218：PO.2.1"]
["S(4)-1.5.2.1","評価項目１：トレーニングプログラムを更新した記録が存在すること。","S(4)-1.5","S(4)-1.5.2","SP800-218：PO.2.2、PO.3"]
["S(4)-2.1.1.1","評価項目１：ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わるセキュリティ要件を特定した方針が存在すること。","S(4)-2.1","S(4)-2.1.1","SP800-218：PO.1.1、PO.3.2"]
["S(4)-2.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","S(4)-2.1","S(4)-2.1.2","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"]
["S(4)-2.2.1.1","評価項目１：開発ソフトウェアに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","S(4)-2.2","S(4)-2.2.1","SP800-218：PO.1.1、PO.1.2"]
["S(4)-2.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","S(4)-2.2","S(4)-2.2.1","SP800-218：PO.1.1、PO.1.2"]
["S(4)-2.3.1.1","評価項目１：セキュア開発活動のための予算とリソースが確保されていること。","S(4)-2.3","S(4)-2.3.1","SP800-218：PO.2.3、NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"]
["S(4)-2.3.2.1","評価項目１：脆弱性の放置リスクの概念が組織内で理解・共有されていること。","S(4)-2.3","S(4)-2.3.2","SP800-218：PO.2.3、NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"]
["S(4)-3.1.1.1","評価項目１：ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びプロセスに関わるセキュリティ要件を特定した方針が存在すること。","S(4)-3.1","S(4)-3.1.1","SP800-218：PO.1.1、PO.3.2"]
["S(4)-3.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","S(4)-3.1","S(4)-3.1.2","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1、ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","S(4)-3.2","S(4)-3.2.1","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","S(4)-3.2","S(4)-3.2.1","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.3.1.1","評価項目１：サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを監査していること。","S(4)-3.3","S(4)-3.3.1","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA"]
["S(4)-3.3.2.1","評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。","S(4)-3.3","S(4)-3.3.2","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA"]
["S(4)-3.3.2.2","評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。","S(4)-3.3","S(4)-3.3.2","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA"]
["S(4)-4.1.1.1","評価項目１：ソフトウェアのセキュリティ確認基準を定義していること。","S(4)-4.1","S(4)-4.1.1","SP800-218：PO.4.1"]
["S(4)-4.1.2.1","評価項目１：セキュリティ確認基準と、そのリスク管理効果との関連性を特定している資料や情報がある。","S(4)-4.1","S(4)-4.1.2","SP800-218：PO.4.1"]
["S(4)-4.1.2.2","評価項目２：SDLC全体にわたって、セキュリティ確認基準を活用していること。","S(4)-4.1","S(4)-4.1.2","SP800-218：PO.4.1"]
["S(4)-4.2.1.1","評価項目１：確認基準を測定するためのデータを収集するプロセス、メカニズムやツールを実装していること。","S(4)-4.2","S(4)-4.2.1","SP800-218：PO.4.2"]
["S(4)-4.2.2.1","評価項目１：収集された測定データに対するアクセス制御を実施していること。","S(4)-4.2","S(4)-4.2.2","SP800-218：PO.4.2"]
["S(4)-4.3.1.1","評価項目１：セキュリティ確認基準の遵守状況を監査する体制を整備していること。","S(4)-4.3","S(4)-4.3.1","SP800-218：PO.4.1、Securing the Software Supply Chain for Developers：2.1"]
["S(4)-4.3.2.1","評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。","S(4)-4.3","S(4)-4.3.2","SP800-218：PO.4.2"]
["S(4)-4.3.2.2","評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。","S(4)-4.3","S(4)-4.3.2","SP800-218：PO.4.2"]
["S(4)-5.1.1.1","評価項目１：リスク評価に基づき、導入すべきツールのカテゴリを定義していること。","S(4)-5.1","S(4)-5.1.1","SP800-218：PO.3.1"]
["S(4)-5.1.2.1","評価項目１：ツールチェーンの構成と連携方法を定義していること。","S(4)-5.1","S(4)-5.1.2","SP800-218：PO.3.1"]
["S(4)-5.1.2.2","評価項目２：ツールチェーンを、開発者・運用者のプロセス及びワークフローに統合していること。","S(4)-5.1","S(4)-5.1.2","SP800-218：PO.3.1"]
["S(4)-5.2.1.1","評価項目１：導入するツールのセキュリティを評価した記録が存在すること。","S(4)-5.2","S(4)-5.2.1","SP800-218：PO.3.2"]
["S(4)-5.2.1.2","評価項目２：ツールとツールチェーンのセキュアな構成とその配備の方法を特定していること。","S(4)-5.2","S(4)-5.2.1","SP800-218：PO.3.2"]
["S(4)-5.2.2.1","評価項目１：ツールチェーンの構成が、意図せず変更されていないことの監視記録が存在すること。","S(4)-5.2","S(4)-5.2.2","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"]
["S(4)-5.2.2.2","評価項目２：ツールチェーンの運用状況を、セキュリティの観点から監視していることを示す記録が存在すること。","S(4)-5.2","S(4)-5.2.2","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"]
["S(4)-5.2.2.3","評価項目３：検知された問題への対応を実施していること。","S(4)-5.2","S(4)-5.2.2","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"]
["S(4)-5.2.3.1","評価項目１：ツールの脆弱性情報を定期的又は継続的に評価していること。","S(4)-5.2","S(4)-5.2.3","SP800-218：PO.3.2"]
["S(4)-5.2.3.2","評価項目２：ツールを必要に応じてアップデートしていること。","S(4)-5.2","S(4)-5.2.3","SP800-218：PO.3.2"]
["S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","S(4)-5.3","S(4)-5.3.1","SP800-218：PO.3.3"]
["S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","S(4)-6.1","S(4)-6.1.1","SP800-218：PO.5.1"]
["S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","S(4)-6.1","S(4)-6.1.1","SP800-218：PO.5.1"]
["S(4)-6.2.1.1","評価項目１：開発環境及び開発用エンドポイントに対するリスク分析の結果が存在すること。","S(4)-6.2","S(4)-6.2.1","SP800-218：PO.5.2"]
["S(4)-6.2.2.1","評価項目１：リスク分析に基づき、保護・強化方法を特定していること。","S(4)-6.2","S(4)-6.2.2","SP800-218：PO.5.2"]
["S(4)-6.2.2.2","評価項目２：開発環境及び開発用エンドポイントに対するセキュリティ対策を実施していること。","S(4)-6.2","S(4)-6.2.2","SP800-218：PO.5.2"]
["S(4)-6.2.2.3","評価項目３：開発環境及び開発用エンドポイントで発生したインシデントへの対応プロセスが整備・運用されていること。","S(4)-6.2","S(4)-6.2.2","SP800-218：PO.5.2"]
["S(5)-1.1.1.1","評価項目１：ポリシー文書が存在していること。","S(5)-1.1","S(5)-1.1.1","サイバーセキュリティ経営ガイドライン：指示7、指示10\nENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards\n情報セキュリティ早期警戒パートナーシップガイドライン"]
["S(5)-1.1.1.2","評価項目２：情報連携に関するポリシーと外部要件との適合性を確認していること。","S(5)-1.1","S(5)-1.1.1","サイバーセキュリティ経営ガイドライン：指示7、指示10\nENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards\n情報セキュリティ早期警戒パートナーシップガイドライン"]
["S(5)-1.1.2.1","評価項目１：情報連携を担う役割を定義していること。","S(5)-1.1","S(5)-1.1.2","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks"]
["S(5)-1.1.2.2","評価項目２：情報連携の具体的なプロセスを定義していること。","S(5)-1.1","S(5)-1.1.2","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks"]
["S(5)-1.2.1.1","評価項目１：関係ベンダーへの情報提供チャネルを実装していること。","S(5)-1.2","S(5)-1.2.1","SP800-161：3.2"]
["S(5)-1.2.1.2","評価項目２：必要なセキュリティ関連情報をサプライチェーンに提供していること。","S(5)-1.2","S(5)-1.2.1","SP800-161：3.2"]
["S(5)-1.2.2.1","評価項目１：連携するセキュリティ関連情報の種類を定義していること。","S(5)-1.2","S(5)-1.2.2","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks\nサイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン  "]
["S(5)-1.3.1.1","評価項目１：外部の公式な情報連携制度・仕組みに参加していること。","S(5)-1.3","S(5)-1.3.1","サイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン"]
["S(5)-1.3.1.2","評価項目２：外部の公式な情報連携制度・仕組みを活用した情報共有（受信・発信）のプロセスを整備していること。","S(5)-1.3","S(5)-1.3.1","サイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン"]
["S(5)-2.1.1.1","評価項目１：自社の事業に関連するセキュリティコミュニティに参加している記録が存在すること。","S(5)-2.1","S(5)-2.1.1","サイバーセキュリティ経営ガイドライン：指示10"]
["S(5)-2.1.2.1","評価項目１：コミュニティ活動で得た情報を自社のセキュリティ対策に活用していること。","S(5)-2.1","S(5)-2.1.2","SP800-161：3.2"]
["S(5)-2.2.1.1","評価項目１：コミュニティの運営や活動に積極的に関与していること。","S(5)-2.2","S(5)-2.2.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"]
["S(6)-1.1.1.1","評価項目１：リスク管理の責任について経営層のコミットメントを得ていること。","S(6)-1.1","S(6)-1.1.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.1.1.2","評価項目２：リスク管理を独立かつ主体的に実施していること。","S(6)-1.1","S(6)-1.1.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","S(6)-1.1","S(6)-1.1.2","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","S(6)-1.2","S(6)-1.2.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.2.1.2","評価項目２：既存の脆弱性や緩和策への主体的な取組に関する記録が存在すること。","S(6)-1.2","S(6)-1.2.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","S(6)-1.3","S(6)-1.3.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"]
["S(6)-1.3.1.2","評価項目２：コミュニティに対して積極的に貢献していること。","S(6)-1.3","S(6)-1.3.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"]
["S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","S(6)-2.1","S(6)-2.1.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.1.1.2","評価項目２：セキュリティ要件を調達・導入前に事業者に提示していること。","S(6)-2.1","S(6)-2.1.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.2.1.1","評価項目１：セキュリティ慣行の要求を整備していること。","S(6)-2.2","S(6)-2.2.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.2.1.2","評価項目２：セキュリティ慣行の要求を調達・導入前に開示していること。","S(6)-2.2","S(6)-2.2.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.3.1.1","評価項目１：調達・導入前にリスク評価を行うことを義務付けたポリシーが存在すること。","S(6)-2.3","S(6)-2.3.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.3.1.2","評価項目２：セキュリティ慣行を保証する事業者を優先するポリシーが存在すること。","S(6)-2.3","S(6)-2.3.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.3.1.3","評価項目３：ポリシーに基づくリスク判断を行い、ソフトウェアの調達・導入を実施していること。","S(6)-2.3","S(6)-2.3.1","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.4.1.1","評価項目１：サイバーセキュリティに関する残存リスク軽減の方策を検討していること。","S(6)-2.4","S(6)-2.4.1","サイバーセキュリティ経営ガイドライン：指示3"]
["S(6)-2.4.1.2","評価項目２：リスク軽減策の実施に必要な予算の申請手続が存在すること。","S(6)-2.4","S(6)-2.4.1","サイバーセキュリティ経営ガイドライン：指示3"]
["S(6)-2.4.1.3","評価項目３：予算とリソースが確保されていること。","S(6)-2.4","S(6)-2.4.1","サイバーセキュリティ経営ガイドライン：指示3"]

{"sheet":"評価DB","index":3,"n_rows":303,"n_cols":9,"rows_kept":303,"cut":false,"hidden":true,"merged":[]}
["評価ID","評価レベル","評価内容","評価方法概説","確認すべきエビデンス","合否判定概説","要求ID","確認項目ID","評価項目ID"]
["S(1)-1.1.1.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスク評価に関する資料や情報がある。","ドキュメント評価：\n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアにおけるセキュリティリスクを識別するために、リスク分析・評価の手続き整備し、その手続きに基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、実施済みの評価方法に関する検討結果など、事前に準備すべきドキュメントを評価する。","■リスク評価の手続き、及び結果のドキュメント\n・リスク分析・評価を実施可能とするための手続き（例：規程、実施手順など）\n・ソフトウェア、及び扱うデータの識別・分類とそのリスク判定結果\n・リスク有りと判定したソフトウェアコンポーネントやデータに対する対応策の検討結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.1"]
["S(1)-1.1.1.1.2","標準","ソフトウェアの高リスク領域に関する詳細なリスク評価を実施した資料や情報がある。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのうち、高リスク領域を対象としたセキュリティリスクを識別するために、高リスク領域の特性を踏まえた詳細なリスク分析・評価を行う手続きを整備し、その手続きに基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n高リスク領域も含む共通の詳細なリスク分析・評価の手続き・結果となっている場合、高リスク領域を識別する必要はない。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該高リスク領域の特性を踏まえたリスク分析・評価に適用される手続きや、実施済みの評価方法に関する検討結果など、事前に準備すべきドキュメントを評価する。","■リスク評価の手続き、及び結果のドキュメント\n・高リスク領域の識別（例：機密データ保護、クレデンシャル管理を含む識別・認証、アクセス制御の保護など）\n・分類とリスク判定結果\n・リスク有りと判定した高リスク領域のソフトウェアコンポーネントやデータに対する対応策の検討結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.1"]
["S(1)-1.1.1.2.1","最低限/標準","リスクモデル（脅威モデル、攻撃モデル）に基づく分析手法を適用している。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェアにおけるセキュリティリスクを識別するために、ソフトウェアの特性に合致したリスクモデルを採用し、リスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価に適用するリスクモデルの採用に関する検討状況など、評価の段階で確認できるドキュメントを評価する。","■リスク分析・評価方法に関する検討結果のドキュメント\n・採用したリスクモデル（脅威モデル、攻撃モデルなど）に基づくリスク分析・評価の実施計画、及び実施結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.2"]
["S(1)-1.1.1.2.2","標準","リスク分析の専門家と共同で作成したリスクモデルを適用している。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェアにおけるセキュリティリスクを識別するために、必要に応じてリスク分析の専門家と共同でリスク分析・評価を計画・準備し、その計画に基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの特性や実装方式を鑑み、リスク分析の専門家の協力を得る必要がないと判断する場合は、理由を記載しN/Aとする。","■リスク分析・評価方法に関する検討結果のドキュメント\n・必要に応じて、専門家によるリスクモデルの検討結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.2"]
["S(1)-1.1.2.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのセキュリティリスク分析・評価に基づいた、リスクの緩和策や例外措置に関する資料や情報がある。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスクベースの分析・評価の結果に基づき、セキュリティリスクの緩和策（リスクを低減するための対策方針）、及び必要な場合は例外措置（リスクを条件付きで受容）を検討することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。","■セキュリティリスクの分析・評価に基づく対応策のドキュメント\n・セキュリティリスクの緩和策\n・必要な場合、セキュリティリスクに対する緩和策、例外措置","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.1"]
["S(1)-1.1.2.1.2","標準","セキュリティリスクの緩和策の達成手段に関する資料や情報がある。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェア対して、リスクベースの分析・評価の結果に基づき、セキュリティリスクを低減するための緩和策の達成手段を検討することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。","■セキュリティリスクの分析・評価に基づく対応策の検討に関するドキュメント\n・セキュリティリスクの緩和策の達成手段（例：ソフトウェアの機能、使用法又は環境条件による制約事項）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.1"]
["S(1)-1.1.2.1.3","標準","セキュリティリスクに対する例外措置が存在する場合、その例外措置を承認する際の根拠となる資料や情報がある。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェア対して、リスクベースの分析・評価の結果に基づき、セキュリティリスクの緩和策や例外措置を検討し、リスクを条件付きで受容する例外処置を採用する場合は、その例外措置を正式な手続きに基づいて承認するための根拠（許容できるリスクと判断したことの根拠）を明らかにすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。","■セキュリティリスクの分析・評価に基づく対応策の検討に関するドキュメント\n・セキュリティリスクに対する例外措置の根拠（例：リスク軽減、移転、保持の効果判定）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.1"]
["S(1)-1.1.2.2.1","最低限/標準","セキュリティリスクの緩和策の達成手段を実現するためのソフトウェアのセキュリティ要件を定義した資料がある。 ","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアに対して、リスクベースの分析・評価の結果に基づき、検討したセキュリティリスクの緩和策（対策方針）の達成手段を実現するためのソフトウェアのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価に基づくセキュリティ要件の定義前と考えられる）、当該セキュリティ要件の定義や設計上の決定に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■ソフトウェアのセキュリティ要件を定義したドキュメント\n・ソフトウェアの機能に関するセキュリティ要件\n・使用法又は環境条件に関するセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.2"]
["S(1)-1.2.1.1.1","最低限/標準","設計がセキュリティ要件を満たすことが確認できるレビューの観点及び方法を適用している。","ドキュメント評価： \nソフトウェアの設計が、定義した全てのセキュリティ要件を満たすことが確認できる設計レビューの観点及び方法を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。","■設計レビュー方針のドキュメント\n・設計レビューの観点（例：セキュリティ要件に対する設計の充足性）\n・設計レビューの方法（例：ピアレビュー、リードレビュー、ウォークスルー、有資格者によるレビュー、ツールチェーンに組み込まれた自動化されたプロセスによるレビュー）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.1","S(1)-1.2.1.1"]
["S(1)-1.2.1.1.2","最低限/標準","設計がセキュリティリスクの緩和に効果があることが確認できるレビューの観点及び方法を適用している。","ドキュメント評価： \n識別されたセキュリティリスクや脆弱性へのソフトウェア設計上の対応が適切であり（ソフトウェアの特性や開発環境に対して合理的な設計レビューの計画を立て、所定の期間で実施可能であること）、かつセキュリティリスクの緩和に効果があること（セキュリティ要件への対応状況、及び識別したリスクへの対応状況が設計レビューにより確認可能な方法であること）が確認できる設計レビューの観点及び方法を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。","■設計レビュー方針のドキュメント\n・設計レビューの観点（例：アーキテクチャの有効性、重要コードの仕様に対する準拠性、識別された脆弱性への対応、識別されたセキュリティリスクへの対応）\n・設計レビューの方法（例：ピアレビュー、リードレビュー、ウォークスルー、有資格者によるレビュー、ツールチェーンに組み込まれた自動化されたプロセスによるレビュー）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.1","S(1)-1.2.1.1"]
["S(1)-1.2.1.2.1","最低限/標準","特定した設計レビューの観点及び方法に基づいて設計レビューを実施した資料や情報がある。","ドキュメント評価： \nソフトウェアの設計が、定義した全てのセキュリティ要件を満たすこと、識別されたセキュリティリスクや脆弱性への設計上の対応が適切であることを確認するために、選定した設計レビューの観点及び方法に従って設計レビューを実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。","■設計レビューの計画、及び結果のドキュメント\n・設計レビューに適用した方針（観点及び方法）に基づく具体的な設計レビュー計画\n・セキュリティ要件への対応に関する設計レビュー結果\n・セキュリティリスクへの対応に関する設計レビュー結果\n・設計レビュー指摘事項","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.1","S(1)-1.2.1.2"]
["S(1)-1.2.2.1.1","最低限/標準","ソフトウェア設計における設計レビューの指摘事項等の結果を反映するために、設計の修正を実施した資料や情報がある。","ドキュメント評価： \n対象とするソフトウェア設計の設計レビュー結果を反映し、設計修正を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、当該設計レビュー結果の反映時に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■設計修正の履歴及び修正内容のドキュメント\n・設計レビューの指摘事項に対応した設計修正の履歴、及び修正内容","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.2","S(1)-1.2.2.1"]
["S(1)-1.2.2.2.1","最低限/標準","設計レビュー結果を反映するために、設計修正以外にリスク対応戦略を変更する必要が生じた場合、そのリスク対応戦略の変更を実施した資料や情報がある。","ドキュメント評価： \n対象とするソフトウェア設計の設計レビュー結果を反映するために、設計修正以外に、リスクモデルやリスク分析・評価方法の変更に関する検討を行い、リスク対応戦略を変更することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、当該設計レビュー結果の反映時に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■リスク対応戦略の変更の検討結果のドキュメント\n・リスクモデルの変更、及び/又はリスク分析・評価方法の変更に伴うリスク対処に関する検討結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.2","S(1)-1.2.2.2"]
["S(1)-1.3.1.1.1","標準","定義されたソフトウェアのセキュリティ要件に基づくソフトウェアのリスク対応活動において証拠として利用可能な、設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びとそれらの根拠に関する記録がある。","ドキュメント評価： \n定義されたソフトウェアのセキュリティ要件に基づく設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びそれらの根拠を記録することで、ソフトウェアライフサイクル全体のリスク管理活動において活用可能とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示す記録をエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク対応活動の実施前と考えられる）、当該リスク対応活動記録の維持管理・共有に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■リスク対応活動で活用可能とするソフトウェアの設計に係る記録\n・設計上の決定事項とその根拠に関する記録\n・ソフトウェアが関係するリスク緩和策の達成手段とその根拠に関する記録\n・ソフトウェアが関係する例外措置とその、根拠、及び承認履歴に関する記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.3","S(1)-1.3.1","S(1)-1.3.1.1"]
["S(1)-1.3.1.2.1","標準","ソフトウェアのリスク対応活動に関する記録を、ソフトウェアライフサイクル全体で維持管理し、監査や保守の活動で活用可能とするための手続きや仕組みに関する資料や情報がある。","ドキュメント評価： \n開発するソフトウェアに係るリスク対応活動の記録を、ソフトウェアライフサイクル全体で維持管理するために必要な手続きや仕組みを整備するとともに、開発するソフトウェアに係る監査や保守の活動においても活用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク対応活動の実施前と考えられる）、当該リスク対応活動記録の維持管理・共有に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■リスク対応活動記録の維持管理・共有に関するドキュメント\n・リスク対応活動記録を維持管理するための手段・仕組み\n・ソフトウェアのリスク対応活動記録を設計者及び関連担当者（監査者、保守担当者など）間で共有するための手段・仕組み\n・ソフトウェアのリスク対応活動の記録が監査や保守の目的で利用された証拠となる記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.3","S(1)-1.3.1","S(1)-1.3.1.2"]
["S(1)-1.4.1.1.1","標準","リスクモデルの妥当性、及びリスク分析・評価結果に基づくセキュリティリスクの緩和策、及び例外処置の妥当性に関する定期的なレビューの手続き、及び結果に関する資料や情報がある。","ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、採用したリスクモデルの定期的なレビューを実施し、リスクモデルの妥当性を確認すること、及びリスク分析・評価の結果の定期的なレビューを実施し、セキュリティリスクの緩和策、及び例外処置の妥当性を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクモデルの定期的な確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■リスクモデル、及びリスク分析・評価のレビュー手続き、及びレビュー結果のドキュメント\n・リスクモデル、及びリスク分析・評価結果の定期的なレビューに関する手続き\n・リスクモデルのレビュー結果（例：リスクモデルの見直し等の指摘事項）\n・リスク分析・評価結果のレビュー結果（例：リスク分析・評価の再確認等の指摘事項）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.1","S(1)-1.4.1.1"]
["S(1)-1.4.1.2.1","標準","ソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。","ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、採用したリスクモデル、及びリスク分析・評価結果の定期的なレビューの結果を踏まえて、セキュリティリスクの緩和策の達成手段であるソフトウェア設計がセキュリティリスクの対処方法として妥当であることを確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの分析・評価結果の定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■定期的なセキュリティリスクの対処方法の確認結果のドキュメント\n・セキュリティリスクの緩和策の確認結果（例：緩和策の見直し等の指摘事項）\n・セキュリティリスクの例外措置の確認結果（例：例外措置の見直し等の指摘事項）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.1","S(1)-1.4.1.2"]
["S(1)-1.4.1.2.2","標準","必要な場合、セキュリティ要件に対するソフトウェアの設計への反映を実施した資料や情報がある。","ドキュメント評価： \nソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認の結果、リスク環境の変化等が及ぼす影響等を踏まえ、セキュリティ要件を満たすために必要と判断した場合、リスク対処のためのソフトウェア設計を見直すことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの分析・評価結果の定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■設計修正の履歴及び修正内容のドキュメント\n・（必要な場合）定期的なセキュリティリスクの対処方法の確認結果に対応したソフトウェアの設計修正の履歴、及び修正内容","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.1","S(1)-1.4.1.2"]
["S(1)-1.4.2.1.1","標準","セキュリティ要件に対する例外処置がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。","ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、セキュリティ要件に対する例外処置の定期的な確認を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■定期的な例外措置の確認結果のドキュメント\n・セキュリティリスクに対する例外処置、根拠（例：リスク軽減、移転、保有の効果判定）の再評価結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.2","S(1)-1.4.2.1"]
["S(1)-1.4.2.1.2","標準","必要な場合、セキュリティ要件に対する例外処置によるセキュリティリスクへの対処方法の変更を承認し、変更を実施した資料や情報がある。","ドキュメント評価： \nセキュリティ要件に対する例外処置の定期的な確認の結果、リスク環境の変化等が及ぼす影響を考慮する必要があると判断した場合、セキュリティリスクへの対処方法を見直し、その変更を承認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■定期的な例外措置の確認結果のドキュメント\n・（必要な場合）リスク対処方法の変更の承認履歴\n・（必要な場合）リスク対処方法の変更を実施した変更履歴、及び変更内容（例：セキュリティリスクに対する見直された例外処置、セキュリティリスク緩和策となるソフトウェア設計の修正）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.2","S(1)-1.4.2.1"]
["S(1)-2.1.1.1.1","最低限/標準","適用する開発言語・開発環境に、ビルド時に組み込まれるおそれのある脆弱性が含まれないことをチェックする手続きに関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発に適用する開発言語や開発環境自体、もしくはそれらをビルドで使用する際に、ビルド時に組み込まれるおそれのある脆弱性が含まれていないことをチェックすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性チェック手続きのドキュメント\n・ツール（開発言語・開発環境など）に関連する脆弱性を事前にチェックする手続き（例：リリースノート等に記載された禁止された使用法、適用すべきパッチに関連する脆弱性、ビルド時の中間生成物や成果物に影響を与える脆弱性（メモリセーフ機能や暗号機能の誤使用等）、使用時に考慮すべき脆弱性（依存ライブラリやツール自身の脆弱性等）など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.1"]
["S(1)-2.1.1.2.1","標準","開発言語・開発環境の選定・更新の手続き、選定基準、更新基準に関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発言語や開発環境を選定・更新する際に適用する手続き、及び基準を定めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールの選定・更新プロセスに関するドキュメント\n・開発に使用するツールの選定・更新に関する手続き\n・ツールの選定・更新に関連する基準の定義","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.2"]
["S(1)-2.1.1.3.1","最低限/標準","適用する開発言語・開発環境において、実装に影響を与えるオプション設定を含む使用法に関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発言語や開発環境を使用する際に、ソフトウェアの実装に影響を与える開発言語や開発環境のオプションを正しく設定することを含む使用法を定め、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアビルドプロセスを定義したドキュメント\n・ツールの使用法（実装に依存するオプションの定義を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.3"]
["S(1)-2.1.1.3.2","最低限/標準","適用する開発言語・開発環境を使用することにより、識別した脆弱性がビルド時に組み込まれることを回避できる手続きに関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、識別した脆弱性がビルド時に組み込まれることを回避できる手続きを採用することにより、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアビルドプロセスを定義したドキュメント\n・ツールの利用手続き（ビルド方法、ビルド実施タイミングを含む）\n・ツールの利用に関するトレーニングプログラム\n・（適用している場合）DevOpsあるいはDevSecOpsの各工程を自動化するツール等によるツールチェーンを適用した開発環境の利用手続き","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.3"]
["S(1)-2.1.1.3.3","標準","ビルドツールを導入・更新するための変更管理手続き、ツールの真正性と整合性を継続的又は定期的に検証する手続き、及びこれらの実施体制に関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、ビルドツールを導入・更新するための変更管理手続き、ビルドツールの真正性（信頼できる正しいツールであること）と整合性（ツールに改ざんや破損がないこと）を継続的又は定期的に検証する手続きを整備するとともに、これらの手続きを実施するための体制を整備することにより、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアビルドプロセスを定義したドキュメント\n・ツールの導入・更新に関する変更管理手続き・ツールの真正性と整合性の継続的又は定期的な検証に関する手続き\n・ツールの導入・更新、検証の手続きを実施する体制","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.3"]
["S(1)-2.1.2.1.1","最低限/標準","適用する開発言語と開発環境に適したセキュアコーディングの指針、及びツールを定義した資料や情報がある。","ドキュメント評価： \nソフトウェアの設計・開発中にソースコードなどのコードベースに混入する脆弱性を抑止するために、開発するソフトウェアに適用する開発言語と開発環境に適したセキュアコーディングの指針やツールを定めたセキュアコーディングプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアコーディングプロセスを定義するドキュメント\n・セキュアなコードとするための原則・規則に関する参照すべき慣行\n・組織が定めるセキュアコーディング標準\n・組織が定めるコーディング・レビューに関する規定\n・適用する開発言語のセキュアな使用法\n・適用する開発環境（ツール等）のコード生成に係るセキュアな使用法\n・DevOpsあるいはDevSecOpsの各工程を自動化するツール等によるツールチェーンを適用した開発環境のコード生成に係るセキュアな使用法\n\n■実装標準への準拠要求に関するドキュメント\n・セキュアコーディングプロセスで定義した実装標準","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.2","S(1)-2.1.2.1"]
["S(1)-2.1.2.1.2","標準","定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境が適用されている。","ドキュメント評価： \nソフトウェアの設計・開発中にソースコードなどのコードベースに混入する脆弱性を抑止するために、定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境を使用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■実装標準への準拠要求に対応する機能に関するドキュメント\n・実装標準への準拠要求を満たすための自動化されたツール機能","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.2","S(1)-2.1.2.1"]
["S(1)-2.1.3.1.1","最低限/標準","ソフトウェアのデフォルト状態を安全な状態とするためのデフォルトセキュアとする指針を定義した資料や情報がある。","ドキュメント評価： \nソフトウェアを出荷する際のデフォルト状態がセキュアな状態となるようにソフトウェアを設計する指針を定めたデフォルトセキュアプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■デフォルトセキュアプロセスを定義するドキュメント\n・デフォルトセキュアな設計・設定とするための原則・規則（例：最小権限の原則、デフォルト拒否、フェイルセキュア、認証・認可に関する規則、データ保護に関する規則、入力処理に関する規則、不要な機能・サービスの無効化、ログ・監査に関する規則）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.3","S(1)-2.1.3.1"]
["S(1)-2.1.3.1.2","標準","ソフトウェアのデフォルト構成を使用可能な形式で保存し、変更を管理するための指針を定義した資料や情報がある。","ドキュメント評価： \nソフトウェアのデフォルト構成を使用可能な形式（設定のコードとしての管理等）で保存し、変更を管理するための指針を定めたデフォルトセキュアプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■デフォルトセキュアプロセスを定義するドキュメント\n・デフォルト構成の保存と変更管理に関する規定（例：保存対象、保存ルール、変更管理プロセス、変更申請項目、変更の分類と承認レベル、ロールバック、監査・定期レビュー）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.3","S(1)-2.1.3.1"]
["S(1)-2.2.1.1.1","最低限/標準","実行可能形式のセキュリティを向上させる機能を提供するビルドツールを識別・選定した資料や情報がある。","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、セキュアに使用できるツールを選定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツールの採用にあたっては、セキュリティの維持とレジリエンス向上を確保するために更新に関する手続も評価する。","■開発に適用する各ツールの識別、選定に関するドキュメント\n・選定した各ツール（開発言語・開発環境（コンパイラ、インタプリタ、ビルドツール等）など）の識別\n・各ツールの選定方法\n・選定した各ツールの選定結果（評価結果、選定理由を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.2","S(1)-2.2.1","S(1)-2.2.1.1"]
["S(1)-2.2.1.1.2","標準","選定したビルドツールが、識別した脆弱性を軽減することを示す根拠となる資料や情報がある。","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスのを定義に従い、識別した脆弱性を軽減することに効果があるビルドツールを選定し採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツールの採用にあたっては、セキュリティの維持とレジリエンス向上を確保するために更新に関する手続も評価する。","■開発に適用する各ツールの識別、選定に関するドキュメント\n・選定した各ツールの脆弱性分析結果（識別した脆弱性を軽減する根拠を含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.2","S(1)-2.2.1","S(1)-2.2.1.1"]
["S(1)-2.2.2.1.1","最低限/標準","ビルドツールの使用機能と設定オプションを決定し、承認された構成でビルドした結果の資料や情報がある。","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、ビルドツールの使用機能と設定オプションを決定し、承認された構成でツールを使用しビルドすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発に適用する各ツール（コンパイラ、インタプリタ、ビルドツールなど）の構成、設定、利用に関するドキュメント\n・開発に適用する各ツールの構成\n・開発に適用する各ツールの機能とオプションの設定内容\n\n■開発に適用する各ツールの決定、承認の記録\n・開発に適用する各ツールの構成・設定・利用の決定・承認の履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.2","S(1)-2.2.2","S(1)-2.2.2.1"]
["S(1)-2.2.2.1.3","標準","ビルドツールの真正性と整合性の継続的又は定期的な検証に関する記録が存在する。","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、ビルドツールの真正性（信頼できる正しいツールであること）と整合性（ツールに改ざんや破損がないこと）の定期的又は継続的又は定期的な検証を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発に適用する各ツールの検証の記録\n・開発に適用する各ツールの継続的又は定期的な検証結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.2","S(1)-2.2.2","S(1)-2.2.2.1"]
["S(1)-2.3.1.1.1","最低限/標準","ソフトウェアの段階に応じて、コードレビュー及び/又は分析方法を選択し、レビューを実施するタイミングと方法を定義した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、ソフトウェアのライフサイクルに応じたタイミング・方法で実施する計画を立案することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析の計画に関するドキュメント\n・コードレビュー及び/又はコード分析の計画（タイミング、方法を含む）\n","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.1"]
["S(1)-2.3.1.1.2","最低限/標準","コードレビュー及び/又はコード分析により発見された指摘事項の情報管理に関する資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析により発見した指摘事項を情報管理し、課題追跡において活用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析の情報管理に関するドキュメント\n・コードレビュー及び/又はコード分析と結果の情報管理（課題追跡システムなどによる分析・レビュー結果の管理）に関する規定・手順","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.1"]
["S(1)-2.3.1.1.3","標準","コードレビュー及び/又はコード分析のどちらを使用すべきかを、組織の定義に従って決定した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析の手法を、ソフトウェアのライフサイクル全体で一貫したレビューとすることを目的とした組織の定義に従って決定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析に関する記録\n・組織の定義にしたがってレビュー方法を決定した記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.1"]
["S(1)-2.3.1.2.1","最低限/標準","定義されたタイミングと方法に基づき、コードレビュー及び/又はコード分析を実施した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、計画したタイミング・方法で実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析結果に関するドキュメント及び記録\n・コードレビュー結果\n・コード分析結果（ツールによる分析結果を含む）\n・発見された指摘事項の情報管理の記録（課題追跡システムなどを含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.2"]
["S(1)-2.3.1.2.2","最低限/標準","必要な場合、サードパーティのコードや社内で再利用するコードに対して、コードレビュー及び/又はコード分析を実施した資料や情報がある。","ドキュメント評価：\n対象とするソフトウェアに含まれるサードパーティのコードや社内で再利用するコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、必要なタイミング・方法で計画及び実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析結果に関するドキュメント及び記録\n・（必要な場合）サードパーティのコードに対するコードレビュー結果\n・（必要な場合）サードパーティのコードに対するコード分析結果（ツールによる分析結果を含む）\n・（必要な場合）社内で再利用するコードに対するコードレビュー結果\n・（必要な場合）社内で再利用するコードに対するコード分析結果（ツールによる分析結果を含む）\n・発見された指摘事項の情報管理の記録（課題追跡システムの記録などを含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.2"]
["S(1)-2.3.1.2.3","標準","ツール（静的コード分析ツールなど）を使用して、コードの脆弱性と組織のセキュアコーディング標準への準拠を点検した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析により、コード内の脆弱性の有無確認、及び組織のセキュアコーディング標準への準拠性を点検することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析結果に関するドキュメント\n・コード内の脆弱性の確認結果\n・組織が定義したセキュアコーディング標準への準拠性の確認結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.2"]
["S(1)-2.3.1.3.1","最低限/標準","コードレビュー及び/又はコード分析の結果を検証し、問題の根本原因を整理・特定した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析の結果を検証することで、問題の根本原因を特定することについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析結果に基づく検証結果に関するドキュメント\n・コードレビュー・分析結果に基づく検証結果（発見された問題の根本原因のカテゴリ分類、考察を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.3"]
["S(1)-2.3.2.1.1","最低限/標準","問題の指摘事項をプロセス（コーディングなど）にフィードバック又は共有した資料や情報がある。","ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を、対象となるプロセスの実施主体にフィードバック又は共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■問題の指摘事項のフィードバック・共有に関連するドキュメント又は記録\n・問題の指摘事項のフィードバック・共有に関する履歴（例：指摘事項の各共有先向け共有方法に基づく履歴、課題追跡システムなどの履歴）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.2","S(1)-2.3.2.1"]
["S(1)-2.3.2.2.1","最低限/標準","特定した根本原因を分類し、推奨する改善策と優先度に関する助言とともに、該当するプロセスにフィードバック又は共有した資料や情報がある。","ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を分析することにより特定した根本原因と対応結果を分類し、推奨する改善策と優先度（トリアージが必要な場合に有用となる重要度のレベル付け、対応可否の検討など）に関する助言とともに、対象となるプロセスの実施主体にフィードバック又は共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■特定した根本原因の対応結果のフィードバック・共有に関連するドキュメント又は記録\n・根本原因の対応結果のフィードバック・共有に関する仕組み又は実施の履歴（例：根本原因の改善策と優先度の各共有先向け共有方法に基づく履歴）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.2.2"]
["S(1)-2.3.2.3.1","最低限/標準","特定した根本原因への対応を踏まえ、プロセスの定義を変更し、プロセスの実装に反映した資料や情報がある。","ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を分析することにより特定した根本原因と対応結果を踏まえ、問題の発生を排除もしくは低減するために根本原因となるプロセスの定義を更新することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュア開発プロセス定義の更新に関するドキュメント又は記録\n・定義したセキュア開発プロセス（セキュアビルドプロセス、セキュアコーディングプロセス、デフォルトセキュアプロセス）の更新履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.2.3"]
["S(1)-2.4.1.1.1","最低限/標準","組織のセキュアコーディング標準に基づき、コードレビュー及び/又はコード分析の対象とするコードベースを特定している資料や情報がある。","ドキュメント評価： \n組織のセキュアコーディング標準に準拠するために、ソフトウェアのコードレビュー及び/又はコード分析は、組織が可読とみなすあらゆる形式のコードベースを漏れなく対象として特定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析の対象に関するドキュメント\n・レビュー・分析対象のコードベース（例：ソースコード、テストコード、設定ファイル、コードとセットで理解が必要な情報に関する定義コード、AIツールへ入力するコード、AIツールが生成したコード）、もしくはそれらをレビュー・分析対象としていることを示す記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.4","S(1)-2.4.1","S(1)-2.4.1.1"]
["S(1)-2.4.1.1.2","最低限/標準","必要な場合、サードパーティのコードや組織内で作成した再利用可能なコードをレビュー及び/又は分析の対象とする資料や情報がある。","ドキュメント評価： \n組織のセキュアコーディング標準に準拠するために、ソフトウェアのコードレビュー及び/又はコード分析は、必要に応じて、サードパーティのコードや組織内で作成した再利用可能なコードを対象とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析の対象に関するドキュメント\n・（必要な場合）レビュー・分析対象のサードパーティのコード\n・（必要な場合）組織内で作成した再利用可能なコードをレビュー・分析対象としていることを示す記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.4","S(1)-2.4.1","S(1)-2.4.1.1"]
["S(1)-3.1.1.1.1","最低限/標準","脅威モデルに基づくリスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定した、セキュリティテスト計画に関する資料や情報がある。","ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画（脅威モデルに基づく、リスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定したテスト範囲、テスト方式、テスト実施時期を含む）を立案することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティテスト計画のドキュメント\n・テスト範囲、テスト方式、テスト実施時期、その他（例：体制、環境、ツール、適用する基準、日程、テスト仕様など）を含むテスト計画\n・脅威モデル、リスク分析（考慮すべき脆弱性を含む）、設計やコードのレビュー・分析などの結果を反映していることの根拠となる情報","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.1","S(1)-3.1.1","S(1)-3.1.1.1"]
["S(1)-3.1.1.1.2","最低限/標準","必要な場合、セキュリティテストのテスト範囲に、実行可能コードを実行する動的テストを含む資料や情報がある。","ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画を立案する際に、必要に応じて、実行可能コード（バイナリ、直接実行されるバイトコード、及び組織が実行可能であるとみなすその他の形式のコードを含む）を実行する動的テストを含めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティテスト計画のドキュメント\n・（必要な場合）テスト方式（実行可能コードに対する動的なセキュリティテスト）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.1","S(1)-3.1.1","S(1)-3.1.1.1"]
["S(1)-3.1.1.1.3","標準","必要な場合、セキュリティテストの対象に、サードパーティの実行可能コードを含む資料や情報がある。","ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画を立案する際に、必要に応じて、サードパーティの実行可能コードを対象とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティテスト計画のドキュメント\n・（必要な場合）テスト範囲（サードパーティの実行可能コード）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.1","S(1)-3.1.1","S(1)-3.1.1.1"]
["S(1)-3.2.1.1.1","最低限/標準","セキュリティテストのテスト方式として、追加の機能テスト、脆弱性テスト、ファジングテスト、侵入テスト、その他のテスト方式のうち必要なすべてを特定した資料や情報がある。","ドキュメント評価： \nソフトウェアをリリースする前に実施するセキュリティテスト計画として、残存する脆弱性を確認するのに適した全てのセキュリティテストのテスト方式を特定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n動的セキュリティテストとしては、追加の機能テスト（機能テストを脆弱性有無確認に拡張）、脆弱性テスト（特定の脆弱性の有無確認のためのテスト）、ファジングテスト（異常データや意図しないデータを大量に自動投入しバグや脆弱性を検出するテスト）、侵入テスト（脆弱性有無を探索して侵入が成立するかを確認する疑似攻撃テスト）、その他のテスト方式（デフォルト設定状態及び設定変更後のセキュリティ上の弱点や運用上の問題を確認するテストなどを含む）から、必要なすべてを特定する。","■セキュリティテスト計画のドキュメント\n・動的なセキュリティテストのテスト方式の特定\n・特定したテスト方式で十分とした根拠","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.2","S(1)-3.2.1","S(1)-3.2.1.1"]
["S(1)-3.3.1.1.1","最低限/標準","セキュリティテスト計画に基づいて設計・作成したセキュリティテストのテスト仕様・テスト環境の資料や情報がある。","ドキュメント評価：\nセキュリティテスト計画に基づいてテスト仕様を設計・作成し、テスト環境を構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■テスト仕様、テスト環境に関するドキュメント\n・セキュリティテストの仕様\n・テストを実施するためのテスト環境","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.3","S(1)-3.3.1","S(1)-3.3.1.1"]
["S(1)-3.3.1.1.2","最低限/標準","セキュリティテスト計画・テスト仕様・テスト環境を使用してセキュリティテストを実施した記録がある。","ドキュメント評価：\nソフトウェアをリリースする前に、セキュリティテスト計画、テスト仕様、テスト環境を使用してセキュリティテストを実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■テストの実施に関する記録\n・特定したテスト方式によるセキュリティテストを実施した記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.3","S(1)-3.3.1","S(1)-3.3.1.1"]
["S(1)-3.3.1.2.1","最低限/標準","セキュリティテストの結果を文書化し、発見した全ての問題を記述した資料や情報がある。","ドキュメント評価：\nソフトウェアをリリースする前に、セキュリティテスト計画に基づいたセキュリティテストを実施し、発見した全ての問題（検出した残存脆弱性を含む）に関する記述と共にテスト結果を文書化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■テスト結果報告に関するドキュメント\n・テスト結果報告書（検出した問題の記述を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.3","S(1)-3.3.1","S(1)-3.3.1.2"]
["S(1)-3.4.1.1.1","最低限/標準","発見した問題、及び検討した対応策の情報管理に関する資料や情報がある。","ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対する対応策を検討し、その情報を管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。","■セキュリティテストで発見した問題への対処に関するドキュメント\n・問題への対応策に関する情報管理（課題追跡システムなどを含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.4","S(1)-3.4.1","S(1)-3.4.1.1"]
["S(1)-3.4.1.1.2","最低限/標準","必要な場合、対応策に対する優先順位付けを実施した資料や情報がある。","ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対して、必要に応じて、緊急度・重要度の観点で対策の優先順位に基づく選別（トリアージ）を行い、対処すべき対応策を決定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。","■セキュリティテストで発見した問題への対処に関するドキュメント\n・（必要な場合）問題への対応策のトリアージに関する情報管理（課題追跡システムなどを含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.4","S(1)-3.4.1","S(1)-3.4.1.1"]
["S(1)-3.4.1.1.3","最低限/標準","対応策を開発に組み込んで対処した内容に関する資料や情報がある。","ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対する対応策を、セキュア開発プロセスに基づく開発チームのワークフローに組み込んで対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。","■セキュリティテストで発見した問題への対処に関するドキュメント\n・問題への対応を開発チームのワークフローに組み込んで対処した内容及びその履歴（例：対応策の再現性・追跡可能性・継続的改善を確保するために開発ワークフローに組み込んだ強化策及びその実施の履歴）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.4","S(1)-3.4.1","S(1)-3.4.1.1"]
["S(1)-4.1.1.1.1","最低限/標準","システム・サービスの管理すべき資産の対象範囲の特定に関する資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産（情報、データなど）、及びシステム・サービスを構成する資産（ハードウェア、ソフトウェア、設定など）について、ソフトウェアの運用時に管理すべき資産の対象範囲を特定するための方針又は手順を、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n資産の対象範囲の特定は、運用を支援するシステム・サービスが扱う資産やソフトウェア構成要素を正確に把握することを目的とする。","■資産管理手順に関するドキュメント\n・ソフトウェア及びシステム・サービスの資産の対象範囲の特定に関する情報（例：管理すべき資産の範囲、管理すべき資産を特定するための方針又は手順）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.1"]
["S(1)-4.1.1.1.2","最低限/標準","システム・サービスの資産の管理手順に関する資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順（セキュアな維持の方法を含む）を、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■資産管理手順に関するドキュメント\n・ソフトウェア及びシステム・サービスの資産管理方法","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.1"]
["S(1)-4.1.1.2.1","最低限/標準","システム・サービスの資産管理手順に従って整備した資産リストに関する資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストを、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■資産リストに関するドキュメント\n・ソフトウェア及びシステム・サービスの資産に関するリスト（例：システム・サービスが管理する情報資産、システム・サービスの構成要素）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.2"]
["S(1)-4.1.1.3.1","最低限/標準","システム・サービスの資産管理手順に従い、資産リストに含まれる構成が、セキュリティ上の弱点や運用上の問題を含まないセキュアなベースラインを維持していることを示す資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストに含まれる構成要素が、顕在化した脆弱性などのセキュリティ上の弱点や、対応すべき運用上の問題を含まないと判断できるレベルを維持するように、運用者または運用を支援する立場で対応することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアな構成の維持に関するドキュメント\n・資産リストの構成がセキュアなベースラインを維持することを示す記録（例：資産ID、現在の構成状態、承認されたベースライン構成、逸脱有無、確認日、対応状況など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.3"]
["S(1)-4.1.1.3.2","標準","資産リストのセキュアな構成を維持するために、構成管理・変更管理と連動することを示す資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストに含まれる構成要素のセキュアな構成を維持するために、運用者または運用を支援する立場で、これらの構成要素のバージョン情報や変更履歴を管理するために、構成管理や変更管理を連動させて  管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアな構成の維持に関するドキュメント\n・資産リストの維持に関連する構成管理・変更管理の履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.3"]
["S(1)-4.2.1.1.1","標準","想定リスクに対する運用を考慮した本番運用環境のシステム分離に関する資料や情報がある。","ドキュメント評価： \nリスクの影響を低減するために、想定するリスクに対する運用を考慮して本番運用環境を分離することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■運用環境の分離に関するドキュメント\n・システムの運用環境のネットワーク構成、システム構成","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.1","S(1)-4.2.1.1"]
["S(1)-4.2.1.1.2","標準","本番運用環境のシステムは、多層防御を意識した分離構成とする資料や情報がある。","ドキュメント評価： \n本番運用環境において、多層防御の考え方に基づき、システムを機能やセキュリティレベルごとにネットワークや物理層・論理層で分離し、それぞれの境界にセキュリティ監視機能（セキュリティ製品などのスタック）を配置することで、脅威の拡散を防止しリスクの影響を低減する分離構成とすること、及びリスクの影響を低減するために、セキュリティ監視に適した分離構成とし、分離した各構成へのアクセスの監視を適切に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n従来の境界型防御だけではなく、通信ごとにIDやコンテキストに基づく継続的な検証とセキュリティ監視機能を適用することによるゼロトラストの概念を採用していることも該当する。","■運用環境の構成及び管理状況のドキュメント\n・システムの運用環境におけるセキュリティスタックの配置構成（例：境界防御のための分離構成、システム機能別の分離構成、セキュリティレベルによる分離構成）\n・システム分離効果を維持するためのセキュリティコントロール（例：特権ユーザーのアクセス制御、すべてのアクセス試行のログ、監視ログの履歴）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.1","S(1)-4.2.1.1"]
["S(1)-4.2.2.1.1","標準","本番運用環境のシステム内部のセキュリティの運用状況をモニタリングする環境を整備し、ログを生成、分析することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与えるセキュリティコントロールの運用状況を監視するためのモニタリング環境（ツール等）を整備し、ログを生成、分析することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■運用環境のシステムを監視するモニタリング環境のドキュメント\n・モニタリング環境の構成（例：セキュリティコントロールの運用状況を監視するツール構成、監視、検出、対応、回復に関連するセキュリティスタックの構成）\n・セキュリティコントロールの運用状況の監視に関するメカニズムの記述","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.2","S(1)-4.2.2.1"]
["S(1)-4.2.2.1.2","標準","本番運用環境のシステムにおいて、操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出し、対応、回復することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与える可能性のある操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出するとともに、検出した攻撃への対応や回復のための手順を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■運用環境のサイバー攻撃への対応手順に関するドキュメント\n・モニタリング環境を利用したサイバー攻撃への対応手順（例：サイバー攻撃によるインシデント対応手順）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.2","S(1)-4.2.2.1"]
["S(1)-4.2.2.1.3","標準","本番運用環境に展開されたすべてのソフトウェアに新たな脆弱性がないか継続的に監視し、発見された脆弱性にリスクベースで対応することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、本番運用環境のソフトウェアにおける脆弱性を継続的に監視し、発見された脆弱性に対してリスクベースで判断し対応することについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","■運用環境のソフトウェアの脆弱性の継続的な監視に関するドキュメント\n・本番運用環境で実施する脆弱性の監視と対応の手続き","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.2","S(1)-4.2.2.1"]
["S(1)-4.3.1.1.1","標準","開発者が、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータを保護するために、セキュリティ要件に対応するセキュリティメカニズムをソフトウェアに実装することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータの機密性・完全性の保護に資するセキュリティメカニズムをソフトウェアに実装・配備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティメカニズムの実装に関するドキュメント\n・ソフトウェアの動作として監視すべき保護セキュリティメカニズムの特定（例：標準化された識別認証管理、アクセス制御、ログ管理、暗号化・署名等）\n・セキュリティメカニズムの方式及び実装方法の概要\n・セキュリティメカニズムの配備及び監視方法の概要","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.3","S(1)-4.3.1","S(1)-4.3.1.1"]
["S(1)-4.3.1.2.1","標準","運用者が、モニタリング環境にセキュリティメカニズムの動作状況を監視するための監視機能を実装することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータを保護するセキュリティメカニズムの動作状況を監視するための監視機能（セキュリティメカニズムの動作状況を、監査機能を介して収集・分析する機能）をモニタリング環境に実装・配備し、運用者が自らの権限で、ソフトウェアのセキュリティに影響を与える運用状況を把握することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■セキュリティメカニズムのモニタリング環境に関するドキュメント\n・セキュリティメカニズムの監視方式及び実装方法の概要（例：主体認証機能、アクセス制御機能、権限の管理、ログの取得・管理、暗号・電子署名、監視機能、データ整合性チェックなど）\n・モニタリング環境の監視機能へのアクセス制御方式の概要","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.3","S(1)-4.3.1","S(1)-4.3.1.2"]
["S(1)-4.3.1.2.2","標準","モニタリング環境の管理は最小権限の原則を実現する構成としている資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータを保護するために実装・配備したセキュリティメカニズムの動作状況を監視するモニタリング環境の管理は、特定の管理者に限定する最小権限の原則に基づく構成とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■セキュリティメカニズムのモニタリング環境に関するドキュメント\n・モニタリング環境の管理機能へのアクセス制御方式の概要（例：最小権限、機能分離、最小機能などの実現方法）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.3","S(1)-4.3.1","S(1)-4.3.1.2"]
["S(1)-4.4.1.1.1","最低限/標準","本番運用環境で動作するソフトウェアに実装した重要なメカニズムの動作状況をモニタリングした記録がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与える重要なメカニズム（セキュリティメカニズム以外で、他のサービスと整合してソフトウェアの環境上にある情報資産及びデータを保護、維持することが求められるメカニズム）の運用状況を監視するためのモニタリング（対象メカニズムの動作状況のログ等による静的あるいは動的な監視）を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■モニタリング記録のドキュメント\n・セキュリティメカニズム以外の重要なメカニズムの動作状況の監視ログ（例：自動スケーリング、フェールオーバー、レート制限、バックアップなど）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.4","S(1)-4.4.1","S(1)-4.4.1.1"]
["S(1)-4.4.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施した資料や情報がある。","ドキュメント評価： \nソフトウェア及びシステム・サービスの運用におけるリスク管理の一環として、セキュリティ評価を定期的に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア及びシステム・サービスに対するセキュリティ評価結果のドキュメント\n・ソフトウェアに対する定期的なセキュリティ評価結果\n・システム・サービスに対する定期的なセキュリティ評価結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.4","S(1)-4.4.2","S(1)-4.4.2.1"]
["S(1)-4.4.2.2.1","最低限/標準","顧客をサポートする運用者としてリスク管理を実施する立場から、運用のリスク管理活動を実施した資料や情報がある。","ドキュメント評価： \nソフトウェア及びシステム・サービスの運用におけるリスク管理の一環として実施したセキュリティ評価の結果の指摘事項への対応を、顧客をサポートする運用者としての組織的なリスク対応活動として実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ評価の指摘事項への対応に関するドキュメント\n・ソフトウェアに対するセキュリティ評価の指摘事項を踏まえた是正計画、是正処置、改善計画等\n・システム・サービスに対するセキュリティ評価の指摘事項を踏まえた是正計画、是正処置、改善計画等\n■セキュリティ評価に係る運用者としての組織的なリスク対応活動の記録\n・セキュリティ評価の指摘事項への対応（是正計画、是正処置、改善計画等）に対する運用のリスク管理に関する決定事項に関する記録\n・運用のリスク緩和策の達成手段に関する記録\n・運用における例外措置、根拠、及び承認履歴に関する記録\n\n■リスク対応活動記録の維持管理・共有の記録\n・運用のリスク対応活動の記録が監査や保守の目的で利用された証拠となる記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.4","S(1)-4.4.2","S(1)-4.4.2.2"]
["S(2)-1.1.1.1.1","最低限/標準","ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。","ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、標準化されたセキュリティ機能を求める場合、これらの具備すべきセキュリティ機能に対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n外部手配する外製ソフトウェアコンポーネントとは、例えば、標準化された、あるいはデファクトスタンダードなセキュリティ機能・サービスなどを提供するオープンソースソフトウェア、ソフトウェアライブラリ、モジュール、ミドルウェア、フレームワーク、あるいは、これらの機能を提供する機器を含むものである。\n標準化されたセキュリティ機能を具備するソフトウェアコンポーネントとは、例えば、以下のようなシステム・モジュールである。（それらの開発環境を含む場合もある）\n暗号・復号化モジュール、署名モジュール、ハッシュ値生成モジュール、認証システム/モジュール、ログ管理システム/モジュール、構成管理システム/モジュール、リリース管理システム/モジュール、問題管理システム/モジュール、脆弱性管理システム/モジュール","■標準化されたセキュリティ機能のためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠したセキュリティ機能に関するセキュリティ要件\n・標準化された仕様に基づくセキュリティ機能に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）\n・標準又はデファクトスタンダードな管理・制御方式を求めるセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.1","S(2)-1.1.1.1"]
["S(2)-1.1.1.1.2","最低限/標準","組織が使用することができる標準化された外部サービスに関する組織のセキュリティ要件を定義した資料や情報がある。","ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、標準化された外部サービスを求める場合、これらのサービスに対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n外部手配するサービスとは、例えば、標準化された、あるいはデファクトスタンダードなセキュリティ機能・サービスなどを提供するオープンソースソフトウェア、ソフトウェアライブラリ、モジュール、ミドルウェア、フレームワークなどの機能を商用サービスとして提供するものである。\n標準化された外部サービスとは、例えば、以下のようなシステム・サービスである。（それらの開発環境を含む場合もある）\n暗号・復号化サービス、署名サービス、ハッシュ値生成サービス、認証システム/サービス、ログ管理システム/サービス、構成管理システム/サービス、リリース管理システム/サービス、問題管理システム/サービス、脆弱性管理システム/サービス","■標準化されたサービスを使用するためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠しサービスに関するセキュリティ要件\n・標準化された仕様に基づく使用可能なサービス（例：SaaS、PaaS、IaaS、その他）に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.1","S(2)-1.1.1.1"]
["S(2)-1.1.1.2.1","最低限/標準","安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための組織の要件を定義した資料や情報がある。","ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外製ソフトウェアコンポーネントをセキュアに手配するために組織が定めた要件を定義したドキュメント\n・商用・オープンソースなどサードパーティが開発・提供するソフトウェアコンポーネントを安全に手配するために組織が定めた要件（例：取引実績、認証取得実績）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.1","S(2)-1.1.1.2"]
["S(2)-1.1.2.1.1","最低限/標準","外部手配するソフトウェアコンポーネントのセキュアな構成が要件を満たすことを確認した資料や情報がある。","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対する要件に基づいて、外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）をセキュアに構成することにより、そのソフトウェアコンポーネントが組織の要件を満たすことを確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・セキュアな構成により組織の要件を満たすことの確認結果（例：構成チェクリストのレビュー、自動スキャン・ツールによる確認、SBOMの照合、侵入テストによる確認）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.1"]
["S(2)-1.1.2.1.2","最低限/標準","利用環境や使用状況に照らして、外部手配するソフトウェアコンポーネントが要件を満たすことをレビュー・評価した結果の資料や情報がある。","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対する要件に基づいて、外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対して、利用環境や使用状況を想定したレビュー・検証・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・利用環境や使用状況を踏まえた仕様・設定・操作などのレビュー・評価結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.1"]
["S(2)-1.1.2.1.3","標準","ソースコードからソフトウェアコンポーネントをビルドし、利用環境や使用状況を踏まえて安全性を検証・評価した結果の資料や情報がある。","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネントに対する要件に基づいて、外部手配するソフトウェアコンポーネントに対して、利用環境や使用状況を想定したレビュー・検証・評価を実施する際、必要に応じて、ソースコードからソフトウェアコンポーネントをビルドし、動的確認・静的解析・動的解析を組み合わせて安全性を検証・評価することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・（必要な場合）ソースコードからのビルド及びセキュリティスキャンなどによる安全性検証・評価結果\n・（必要な場合）利用環境や使用状況を踏まえた動作確認、静的解析（バイナリスキャン）、又は動的解析による安全性検証・評価結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.1"]
["S(2)-1.1.2.2.1","最低限/標準","評価結果に基づき、安全性の高い外製ソフトウェアコンポーネントを選定・取得した資料や情報がある。","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネントに対する要件に基づいて、外部手配するソフトウェアコンポーネントに対して、利用環境や使用状況を想定したレビュー・検証・評価を実施し、安全性の高い外製ソフトウェアコンポーネントを選定・取得することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部手配するソフトウェアコンポーネントの選定結果のドキュメント\n・レビュー・評価結果に基づく選定結果\n・安全性検証・評価結果に基づく選定結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.2"]
["S(2)-1.2.1.1.1","最低限/標準","外部手配するソフトウェアコンポーネントと同様に、内製するソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。","ドキュメント評価：\n内製するソフトウェアコンポーネントを開発する際、外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求める場合、これらの具備すべきセキュリティ機能に対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■標準化されたセキュリティ機能のためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠したセキュリティ機能に関するセキュリティ要件\n・標準化された仕様に基づくセキュリティ機能に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）\n・標準又はデファクトスタンダードな制御方式を求めるセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.1","S(2)-1.2.1.1"]
["S(2)-1.2.1.2.1","最低限/標準","内製するソフトウェアコンポーネントの開発・維持には、S(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用する資料や情報がある。","ドキュメント評価：\n内製するソフトウェアコンポーネントを開発する際、原則としてS(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントが「セキュア開発プロセス」に従うことを示すドキュメント\n・組織が定義する「セキュア開発プロセス」を適用することが示された記述","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.1","S(2)-1.2.1.2"]
["S(2)-1.2.2.1.1","最低限/標準","内製ソフトウェアコンポーネントのリストに関する資料や情報がある。","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントをリスト化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントのリストに関するドキュメント\n・内製ソフトウェアコンポーネント一覧のリスト","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.1"]
["S(2)-1.2.2.1.2","標準","内製ソフトウェアコンポーネントを利用するためのリファレンスガイダンスに関する資料や情報がある。","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントを利用するためのリファレンスガイドを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントに関するドキュメント\n・内製ソフトウェアコンポーネントのリファレンスガイダンス（例：コンポーネントの仕様、セキュアな使用法）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.1"]
["S(2)-1.2.2.2.1","最低限/標準","内製ソフトウェアコンポーネントのセキュアな構成に関する情報を維持管理・共有するための手続きや仕組みに関する資料や情報がある。","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントの開発成果物のセキュアな構成とインスタンスを維持管理・共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントの維持管理・共有に関するドキュメント\n・セキュアな構成とインスタンスのリポジトリに関する記述（例：セキュアな構成ベースライン定義、ハードニングされた設定テンプレート、セキュリティ設定パラメータ一覧、ビルド成果物のリポジトリ）\n・リポジトリを維持管理・共有するための手段に関する記述（例：バージョン管理、構成ドリフト検知、リポジトリ管理・共有方法）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.2"]
["S(2)-1.2.2.2.2","標準","必要な場合、ソフトウェアコンポーネントの構成・設定を手動で行うことによるミスを防止する仕組みに関する資料や情報がある。","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントにおいて、必要に応じて、セキュアな構成・設定の手動実施によるミスを防止する仕組みを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントの構成・設定の手動設定ミスを防止する仕組みに関するドキュメント又は記録・（必要な場合）構成・設定のコード化（例：CaC（configuration-as-code））\n・（必要な場合）構成・設定のバージョン管理（例：構成・設定情報の構成管理、ソフトウェア構成のCaC管理リポジトリ）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.2"]
["S(2)-1.3.1.1.1","最低限/標準","組織が承認したソフトウェアコンポーネントを、コンポーネントバージョンの一覧及び、出所情報とともに維持管理する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントのバージョンの一覧、及び出所情報を取得・紐づけして維持管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントの出所情報の取得手順（例：提供元からの情報提供、SBOM取得）\n・ソフトウェアコンポーネントの出所情報の維持管理に関する手順","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.1"]
["S(2)-1.3.1.1.2","標準","各ソフトウェアコンポーネントの出所情報をシステム又はツールで管理することを示す資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントのバージョンの一覧、及び出所情報を取得・紐づけして維持管理する際、システム又はツール（例：SBOM）を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントのシステム又はツール（例：構成管理ツール、SBOM管理ツール）による管理に関する手順\n・ソフトウェアコンポーネントの出所情報の維持管理記録の履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.1"]
["S(2)-1.3.1.1.3","標準","各ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけた管理とする資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけ管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果と出所情報との紐づけ管理記録の履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.1"]
["S(2)-1.3.1.2.1","最低限/標準","各ソフトウェアコンポーネントの出所情報に基づき、リスクを評価した結果に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、取得・紐づけ管理する出所情報に基づく信頼性の確認、履歴情報の確認、脅威や脆弱性の確認を通じてリスクを評価することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■出所情報に基づくソフトウェアコンポーネントのリスク評価結果のドキュメント\n・ソフトウェアコンポーネントのリスク評価結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.2"]
["S(2)-1.4.1.1.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の定期的又は継続的な確認を実施した資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を定期的又は継続的に確認し、ソフトウェアコンポーネントにおける既知の公知脆弱性の有無を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■各ソフトウェアコンポーネントの定期的な公知脆弱性確認に関するドキュメント\n・各ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.1","S(2)-1.4.1.1"]
["S(2)-1.4.1.1.2","標準","必要な場合、導入した特定のソフトウェアコンポーネントの既知の公知脆弱性の自動検出をツールチェーンへ組込むことに関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を継続的に確認する際に、必要に応じて、導入済みソフトウェアコンポーネントのうち、リスクを踏まえ重要と判断した特定のソフトウェアコンポーネントと、既知の公知脆弱性情報のデータベースとを自動的に照合し、脆弱性を検出・特定する仕組みを、ツールチェーンに組み込むことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■各ソフトウェアコンポーネントの継続的な公知脆弱性確認に関するドキュメント\n・（必要な場合）導入した特定のソフトウェアコンポーネントの公知脆弱性の自動検出に関する手続き","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.1","S(2)-1.4.1.1"]
["S(2)-1.4.1.2.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の確認結果から識別した未修正の脆弱性を除去もしくは低減するために実施した修正・変更を管理する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を定期的又は継続的に確認し、検出された未修正の公知脆弱性を除去もしくは低減するために実施したソフトウェアコンポーネントの修正（パッチ適用、コード修正など）・変更（適用バージョンの変更など）の対応結果を管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■各ソフトウェアコンポーネントの公知脆弱性への対応の管理に関するドキュメント\n・対応すべき未修正の公知脆弱性と修正・変更の対応策に関する手続き\n・ソフトウェアコンポーネントの修正・変更などの対応アクションの記録\n・セキュアな構成とインスタンスのリポジトリの更新に関する記録\n・脆弱性の修正を行わない場合の例外処置（例：逸脱等）に関する手続き","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.1","S(2)-1.4.1.2"]
["S(2)-1.4.2.1.1","最低限/標準","各ソフトウェアコンポーネントのEOLの定期的又は継続的な確認結果に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントのEOL/EOSの情報を定期的又は継続的に収集することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■各ソフトウェアコンポーネントの定期的なEOL確認結果のドキュメント\n・各ソフトウェアコンポーネントのEOLもしくはEOSの確認記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.2","S(2)-1.4.2.1"]
["S(2)-1.4.2.2.1","最低限/標準","各ソフトウェアコンポーネントのEOL/EOSがこれを導入した対象ソフトウェアの運用期間内である場合、EOL/EOSに基づく対応計画（移行計画を含む）を策定した資料や情報がある。","ドキュメント評価：\n収集したソフトウェアコンポーネントのEOL/EOSの情報と、これを導入した対象ソフトウェアの運用期間への影響を確認し、EOL/EOSに対する対応計画を策定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■EOL/EOSに基づく対応計画のドキュメント\n・各ソフトウェアコンポーネントのEOL/EOSへの対応計画（例：移行計画）\n・対象ソフトウェアに導入したソフトウェアコンポーネントのEOL/EOSへの対応計画","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.2","S(2)-1.4.2.2"]
["S(2)-1.5.1.1.1","最低限/標準","ソフトウェアコンポーネントの更新プロセスの定義に関する資料や情報がある。","ドキュメント評価：\nセキュアにソフトウェアコンポーネントの更新を実施するためのプロセスを定義し、正式な手順として導入することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n・新バージョンへのセキュアな更新手続き（例：出所情報の取得・保存、更新におけるセキュリティチェック方法など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.1"]
["S(2)-1.5.1.1.2","最低限/標準","更新プロセスとして、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの更新プロセスは、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n・旧バージョンの扱いに関する手続き（例：旧バージョンの移行完了までの扱いに関する手順（リカバリー手順）など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.1"]
["S(2)-1.5.1.1.3","標準","必要な場合、更新するソフトウェアコンポーネントの整合性又は出所情報を検証、及びソースコードからバイナリをビルドして検証する手順に関する資料や情報がある。","ドキュメント評価：\nソフトウェアの整合性、出所情報の信頼性、コードとバイナリの一致など、サプライチェーンセキュリティの確証を高めるために、ソフトウェアコンポーネントの更新プロセスは、必要に応じて、整合性及び出所情報を検証し、ソースコードからバイナリをビルドして検証する手順を含むことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n\n・（必要な場合）更新するソフトウェアコンポーネントの検証に関する手続き（例：整合性の検証、出所情報の検証、ソースコードからバイナリをビルドして実施する検証）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.1"]
["S(2)-1.5.1.2.1","最低限/標準","対象ソフトウェアに含まれるソフトウェアコンポーネントの更新時に、定義した更新プロセスを適用した資料や情報がある。","ドキュメント評価：\n対象ソフトウェアに含まれるソフトウェアコンポーネントの更新には、セキュアな更新を実施するために定義したプロセスを適用し、実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの更新手続きの記録に関するドキュメント\n・ソフトウェアコンポーネントの更新計画、更新結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.2"]
["S(2)-1.5.2.1.1","最低限/標準","ソフトウェアコンポーネントの脆弱性（公知脆弱性を含む）に対し、サプライチェーン上で対応することを決定するための手続きに関する資料や情報がある。","ドキュメント評価： \nソフトウェアコンポーネントの対応すべき脆弱性情報をサプライチェーン上で共有し、対応することを決定するための手続きについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの脆弱性情報の共有・対応に関する手続きに関するドキュメント\n・パッチ適用の決定に関する手続き（例：サプライチェーン上での情報共有、サプライチェーン上での脆弱性への対応の決定）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.2","S(2)-1.5.2.1"]
["S(2)-1.5.2.1.2","最低限/標準","ソフトウェアコンポーネントに対するパッチ適用等の対応に関する情報を、サプライチェーン上で受け渡す手続きに関する資料や情報がある。","ドキュメント評価： \n脆弱性に対応したソフトウェアコンポーネントを、そのソフトウェアコンポーネントを含む対象ソフトウェアの利用者である顧客まで配付するために、必要なパッチ適用等の対応に関する情報をサプライチェーン上で受け渡す手続きを定め、脆弱性情報と修正プログラムの流通を促進することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントのパッチ手続きに関するドキュメント\n・パッチ適用の受け渡しに関する手続き（例：サプライチェーン上でのパッチの生成と配付）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.2","S(2)-1.5.2.1"]
["S(2)-2.1.1.1.1","最低限/標準","対象ソフトウェアの全てのコードベースのリポジトリに関する資料や情報がある。","ドキュメント評価：\n不正アクセスや改ざんから保護するために、対象ソフトウェアの全てのコードベースをリポジトリに保存することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアのコードベースは、ソースコード、実行可能コード、設定、リソースファイル、コンテナイメージ、コードとしての構成（CaC）など、全ての形式のコードを対象とするほか、オープンソースや言語クラスの部品群、完全性検証情報、出所情報なども対象とする。","■コードベースのリポジトリに関するドキュメント\n・コードベースのリポジトリへの保存方法に関する記述\n・リポジトリに保存するコードのタイプ（種類、形式）\n・リポジトリへのコードの保存記録の履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.1","S(2)-2.1.1","S(2)-2.1.1.1"]
["S(2)-2.1.1.2.1","最低限/標準","コードの性質に基づき、承認された担当者、ツール、サービスに絞るなど、コードベースへのアクセスを最小限に制限していることを示す資料や情報がある。","ドキュメント評価：\n不正アクセスや改ざんから保護するために、対象ソフトウェアの全ての形式のコードベースをリポジトリに保存し、コードの種別に基づき、かつ最小限のアクセスに制限することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nコードの種別によるアクセスの制御方式として、ソースコードや実行可能コードのファイルの正当性や整合性を保護するために暗号化技術（例：コード署名、コミット署名、ハッシュ）などを活用する。","■コードベースのリポジトリへのアクセス制限に関するドキュメント\n・リポジトリへのアクセス制御方法に関する記述\n・リポジトリへのアクセス制限に関する設定の記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.1","S(2)-2.1.1","S(2)-2.1.1.2"]
["S(2)-2.2.1.1.1","最低限/標準","リリース毎に保持が必要なファイルとサポートデータを脆弱性分析に活用できるようにアーカイブすることに関する資料や情報がある。","ドキュメント評価：\nリリース後に発見された脆弱性を分析・特定可能とするために、対象ソフトウェアの各リリースのインスタンスのファイルとサポートデータ（完全性検証情報、出所情報など）をアーカイブすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの各リリースのアーカイブに関するドキュメント\n・アーカイブするインスタンスの構成に関する記述\n・各リリースソフトウェアのアーカイブの情報（例：実行可能なバイナリ、コンテナイメージ、作成方法、格納場所、完全性に関する保護方法、完全性保護に関する情報、出所情報）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.2","S(2)-2.2.1","S(2)-2.2.1.1"]
["S(2)-2.2.1.2.1","最低限/標準","アーカイブしたインスタンスに対して、データ署名などによる完全性の保証や、最小限のアクセス制限などの保護策を講じることを示す資料や情報がある。","ドキュメント評価：\nリリース後に発見された脆弱性の分析・特定の対象とするアーカイブインスタンスを管理するために、対象ソフトウェアの各リリースのインスタンスに対して、インスタンスの完全性の保証や最小限のアクセスに制限するなどの保護策を講じることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■アーカイブインスタンスの管理方法に関するドキュメント\n・アーカイブインスタンスへのアクセス制御方法に関する記述\n・アーカイブインスタンスのその他の保護策に関する記述（例：完全性の保護、暗号化による秘匿保護、冗長性・可用性の確保、物理的保護、運用・プロセスによる保護）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.2","S(2)-2.2.1","S(2)-2.2.1.2"]
["S(2)-2.3.1.1.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの更新とともに、出所情報を収集・更新することに関する資料や情報がある。","ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集、更新するための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■出所情報の収集に関するドキュメント及び記録\n・収集する出所情報の内容に関する記述（例：コンポーネント名、バージョン情報、提供元情報、依存関係、ライセンス情報、SBOMタイムスタンプ、既知脆弱性情報）\n・出所情報を収集した記録\n・出所情報を更新した場合、その更新した記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.3","S(2)-2.3.1","S(2)-2.3.1.1"]
["S(2)-2.3.1.1.2","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の整合性を保つ仕組みに関する資料や情報がある。","ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報の整合性を保つための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■出所情報の収集・保護に関するドキュメント\n・出所情報の整合性を保つ仕組みに関する記述（例：各リリースに紐づいたソフトウェアコンポーネントの出所情報の構成管理、コード署名と検証）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.3","S(2)-2.3.1","S(2)-2.3.1.1"]
["S(2)-2.3.1.2.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の記録を維持管理・共有するための手続きや仕組みに関する資料や情報がある。","ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報の記録を維持、共有するための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■全てのソフトウェアコンポーネントの出所情報の維持管理・共有に関するドキュメント\n・出所情報の維持管理のための手段に関する記述（例：各リリースに紐づいたソフトウェアコンポーネントの出所情報の構成管理）\n・出所情報を開発者・供給者間で共有するための手段に関する記述","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.3","S(2)-2.3.1","S(2)-2.3.1.2"]
["S(2)-3.1.1.1.1","最低限/標準","外部の事業者などからソフトウェアコンポーネントを手配する場合、要求するセキュリティ要件の合意事項を文書化した資料や情報がある。","ドキュメント評価： \nサードパーティ製のソフトウェアコンポーネント又はサービスを事業者が外部手配する際に、要求するセキュリティ要件を、外部調達先との合意事項とし、文書化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nサードパーティ製のソフトウェアコンポーネントには、自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む。外部手配するサービスには、開発するソフトウェア又はシステム・サービスの一部となるサービスを含む。\n供給者と運用者は、外部の事業者などと合意するセキュリティ要件が顧客のニーズや要求に適合していることの把握に努める必要がある。","■セキュリティ要件を合意事項とする文書のドキュメント\n・調達要件文書、ソフトウェア契約、その他サードパーティとの合意を約する内容に関する文書","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.1","S(2)-3.1.1","S(2)-3.1.1.1"]
["S(2)-3.1.2.1.1","最低限/標準","サプライチェーンセキュリティ要件を定義した資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、サプライチェーンセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■サプライチェーンセキュリティ要件に関するドキュメント\n・サプライチェーンセキュリティ方針（例：セキュリティ慣行の遵守状況、出所情報の提出）\n・サプライチェーンセキュリティ要件（例：セキュアコーディングに関する要件、セキュリティチェックに関する要件、脆弱性対応に関する要件、提供形態・提供手段・検証手段に関する要件、SBOM提供に関する要件、サポート内容・期間・条件に関する要件）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.1","S(2)-3.1.2","S(2)-3.1.2.1"]
["S(2)-3.1.2.2.1","最低限/標準","外部からソフトウェアコンポーネント又はサービスを手配し取得する側の事業者としての手配プロセスの定義に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、手配プロセスを定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの手配プロセス定義に関するドキュメント\n・ソフトウェアコンポーネントの手配プロセス定義（例：購入用途の明確化、信頼できる配布先選定、契約内容・管理状態の良い供給者へのインセンティブ付与などの手順）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.1","S(2)-3.1.2","S(2)-3.1.2.2"]
["S(2)-3.1.2.3.1","最低限/標準","供給者からエビデンスを取得し、サプライチェーンセキュリティ要件への対応状況を確認した記録に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、定義した手配プロセスに従ってソフトウェアコンポーネントを手配すること、及び定義したサプライチェーンセキュリティ要件に従って必要なエビデンスを取得することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■手配プロセスを実施した記録\n・手配プロセスに基づいて手配を実施した記録\n・供給者が提示したエビデンス（例：セキュリティ慣行の遵守状況、出所情報の提出）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.1","S(2)-3.1.2","S(2)-3.1.2.3"]
["S(2)-3.2.1.1.1","標準","提供先の組織が採用するサプライチェーンセキュリティ要件への対応、又はこれに準じることを合意事項とした資料や情報がある。","ドキュメント評価： ソフトウェアコンポーネント又はサービスを提供する側の事業者の場合、提供先のサプライチェーンセキュリティ要件又はこの要件に準じることを合意し対応することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n供給者は、提供先の組織が採用するサプライチェーンセキュリティ要件に適合していることの把握に努める必要がある。","■合意したサプライチェーンセキュリティ要件に関するドキュメント\n・合意したサプライチェーンセキュリティ要件（例：セキュアコーディングに関する要件、セキュリティチェックに関する要件、脆弱性対応に関する要件、提供形態・提供手段・検証手段に関する要件、SBOM提供に関する要件、サポート内容・期間・条件に関する要件）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.2","S(2)-3.2.1","S(2)-3.2.1.1"]
["S(2)-3.3.1.1.1","標準","外部手配のソフトウェアコンポーネントが提示したセキュリティ要件を満たせない場合のリスク対処プロセスを定義した資料や情報がある。","ドキュメント評価： \nソフトウェアコンポーネントを外部手配する場合、満たせないセキュリティ要件がある場合のリスクへの対処プロセスを整備し、サプライチェーン・リスクを軽減することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nリスク対処プロセスには、要件に対して承認されたすべての例外の定期的なレビューを含む。\nリスク対処プロセスに従い、当該ソフトウェアコンポーネントを外部手配しないことを決定した場合、個別要求(2).1-2にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する等の代替策を策定する。","■ソフトウェアコンポーネントの外部手配におけるリスク対処プロセスの定義に関するドキュメント\n・ソフトウェアコンポーネントの外部手配に関するリスク対処方針及び手続き（例：承認された例外の定期的又は継続的なレビュー）\n・サプライチェーン・リスクを軽減するための取得戦略、取得方法に関する規定（例：購入用途を明確化しない、信頼できる配布先の選定、契約内容及び管理状態の良い供給者へのインセンティブ付与）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.3","S(2)-3.3.1","S(2)-3.3.1.1"]
["S(2)-4.1.1.1.1","最低限/標準","セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む管理者向けガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。","ドキュメント評価：\nソフトウェアをインストール・設定する際にセキュアな構成とするための方法（セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む）に関する管理者向けガイダンスを作成し、調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアなデフォルト設定に関する管理者向けガイダンス\n・調達者に提供する管理者向けガイダンス（例：ソフトウェアのデフォルト設定、各設定の目的、デフォルト値、設定とセキュリティとの関連性、設定変更の影響、他の設定との関係）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.1","S(2)-4.1.1.1"]
["S(2)-4.1.1.2.1","最低限/標準","ソフトウェアのセキュアな導入・設定（セキュアなデフォルト設定以外も含む）、操作、廃棄を含むガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。","ドキュメント評価：\nソフトウェアをインストール・設定する際にセキュアな構成とするための方法（セキュアなデフォルト設定以外）、ソフトウェアをセキュアに操作するための方法、及びソフトウェアを廃棄する際のセキュアな手続きなどに関する管理者及び利用者向けガイダンスを作成し、調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアのセキュアな導入・設定・操作・廃棄に関する管理者及び利用者向けガイダンス\n・調達者に提供する管理者向けガイダンス（例：セキュアな導入・設定（セキュアなデフォルト設定以外も含む））\n・調達者に提供する利用者向けガイダンス（例：ソフトウェアの操作、ソフトウェアの廃棄時（EOL/EOS時又は利用終了時）の対応）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.1","S(2)-4.1.1.2"]
["S(2)-4.1.1.2.2","最低限/標準","ソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、継続的に更新したガイダンスを提供することを定めた資料や情報がある。","ドキュメント評価：\nソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、ソフトウェアのデフォルト設定、セキュアな導入・設定、操作、廃棄を含む管理者及び利用者向けガイダンスを更新し、更新したガイダンスを調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの管理者及び利用者向けガイダンスの提供の手続きに関するドキュメント\n\n・管理者及び利用者ガイダンスの更新を継続的に提供する手続き","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.1","S(2)-4.1.1.2"]
["S(2)-4.1.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関して、製品・サービスの販売終了（EOS）/製品・サービスのライフサイクル終了（保守やサポートの終了、EOL）に関する情報を調達者に継続的に提供又は伝達することを定めた資料や情報がある。","ドキュメント評価： \nソフトウェアのサポート内容、及びEOS/EOLに関する情報を、継続的に調達者に提供又は伝達することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア及びシステム・サービスのサポート内容、及びサポート終了予定日を調達者に提供又は伝達することを定めたドキュメント\n・サポート内容及びEOS/EOL関連の情報の提供に関する方針\n・提供する情報の項目","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.2","S(2)-4.1.2.1"]
["S(2)-4.1.2.1.2","標準","ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を、調達者に継続的に提供又は伝達することを定めた資料や情報がある。","ドキュメント評価： \nソフトウェアのサポート内容、及び必要に応じて変更の影響や廃棄・提供終了・利用終了に関する情報を、継続的に調達者に提供又は伝達することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n変更の影響に関する情報とは、提供するソフトウェア及び/又はシステム・サービスの更新を行う場合に、受領側がその変更に応じて必要となる対応などの情報が考えられる。また廃棄に関する情報とは、ソフトウェア及び/又はシステム・サービスのEOS/EOLまでに受領側が実施すべき事項（関連するデータの退避・保存など）に関する情報が考えられる。","■ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を調達者に提供又は伝達することを定めたドキュメント\n・変更の影響・提供終了・利用終了に関する情報の提供に関する方針\n・提供する情報の項目","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.2","S(2)-4.1.2.1"]
["S(2)-4.2.1.1.1","最低限/標準","ソフトウェアを配付する際、及び継続的に、ソフトウェアの整合性・完全性が確保されていることを検証するための情報を、ソフトウェア本体とは別の手段で、調達者に提供することを定めた資料や情報がある。","ドキュメント評価： \nソフトウェア配付における流通経路上の保護対策として、ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア配付における流通経路上の保護の対策に関するドキュメント\n・リリースファイルの整合性の保護対策の記述（例：リリースノートなどによるバージョン情報、情報提供方法、構成情報、履歴情報の提示）\n・リリースファイルの完全性の保護対策の記述（例：暗号化ハッシュ（ハッシュ値含む）、コード署名（署名検証情報含む））\n・サービスのなりすまし対策の記述（例：証明書）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.2","S(2)-4.2.1","S(2)-4.2.1.1"]
["S(2)-4.2.2.1.1","最低限/標準","ソフトウェアを供給者から顧客へセキュアに配付する配付システムの整備に関する資料や情報がある。","ドキュメント評価： \nソフトウェアの配付における通信経路上の保護対策として、ソフトウェアの配付をセキュアに行うメカニズムを具備した配付システムを整備し、顧客が安全に利用できるようにするために保護対策を講じることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの配付システムにおける保護の対策に関するドキュメント\n・セキュアな配布メカニズムを実現する配付システム（例：自動更新システム）\n・配付システムの保護対策（例：信頼できる認証局をコード署名に使用、コード署名プロセスの定期的又は継続的な見直し、その他の署名環境の保護対策）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.2","S(2)-4.2.2","S(2)-4.2.2.1"]
["S(3)-1.1.1.1.1","最低限/標準","脆弱性の開示と是正の基本方針に関する資料や情報がある。","ドキュメント評価：\nソフトウェアの脆弱性が発見された際に、その開示と是正を実施するための基本的な方針を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関する基本方針を定めたドキュメント\n・脆弱性の開示の方針\n・脆弱性の是正の方針","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.1","S(3)-1.1.1.1"]
["S(3)-1.1.1.1.2","標準","脆弱性の開示と是正の基本方針に加えて、脆弱性対応プロセス改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いの各方針に関する資料や情報がある。","ドキュメント評価：\nソフトウェアの脆弱性が発見された際に、その開示と是正を実施するためのポリシー（方針）に、脆弱性対応プロセスの改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いに関する方針を含めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関するポリシー（方針）を定めたドキュメント\n・脆弱性対応プロセスの改善の方針\n・定期的な脆弱性対応訓練の方針\n・脆弱性報告の対話方針（例：受付、連絡方法）\n・報告情報の取扱いの方針（例：報告者保護（免責事項、機密保持等））","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.1","S(3)-1.1.1.1"]
["S(3)-1.1.2.1.1","最低限/標準","脆弱性対応に関する担当者を任命していることがわかる資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための担当者を任命することについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関する体制を定義したドキュメント\n・担当部署、担当者が任命されていることを示す記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.1"]
["S(3)-1.1.2.1.2","標準","脆弱性対応を専門とする組織体制を設置していることがわかる資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための体制を組織の規程や手順書等で定義し、整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関する体制を定義したドキュメント\n・専門体制の設置に関する規程（例：PSIRT）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.1"]
["S(3)-1.1.2.2.1","最低限/標準","脆弱性対応に関わる担当者の役割と責務を定義している資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための役割と責務を組織の規程や手順書等で定義し、整備していることについて、責務として適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応における各部署・担当者の役割と責務を定めたドキュメント\n・全ての役割と責務の一覧","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.2"]
["S(3)-1.1.2.3.1","最低限/標準","脆弱性情報を入手してから対処するまでの一連のプロセスに関する資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するためのプロセスを組織の規程や手順書等で定義し、整備していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応の各段階の定義（例：情報の収集、分析、トリアージ、対策、情報の公開）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.3"]
["S(3)-1.1.2.3.2","標準","脆弱性対応の一連のプロセスにおける具体的な手順を定義している資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための一連のプロセスにおける具体的な手順書を定義し、整備していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応の各段階（例：情報の収集、分析、トリアージ、対策、情報の公開）における具体的な作業手順や判断基準","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.3"]
["S(3)-1.1.2.3.3","標準","脆弱性対応演習や脆弱性対応プロセスの見直しに関する資料がある。","ドキュメント評価：\n定義したポリシーの実効性を高めるため、脆弱性対応演習や脆弱性対応プロセスを見直す仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応演習に関する規定\n・脆弱性対応プロセスの見直しに関する規定","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.3"]
["S(3)-1.2.1.1.1","最低限/標準","脆弱性対応に関する一連のプロセスにおいて、利害関係者とのコミュニケーションに関する資料や情報がある。","ドキュメント評価：\n脆弱性対応に関するコミュニケーション計画を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n脆弱性の取扱に関するコミュニケーション計画には、誰が、誰に、何を、いつ、どのように連絡するかが含まれているかを確認する。","■脆弱性対応に関するコミュニケーション計画のドキュメント\n・コミュニケーションに関する計画（例：役割、対象、内容、タイミング、方法、連絡体制）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.1"]
["S(3)-1.2.1.1.2","標準","脆弱性の深刻度に応じた手順やサービスレベルを含む詳細なコミュニケーション計画に関する資料や情報がある。","ドキュメント評価：\n脆弱性対応に関する詳細なコミュニケーション計画を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nステークホルダーや脆弱性の深刻度等に応じた詳細なコミュニケーション計画が策定されていることを確認する。","■脆弱性対応に関するコミュニケーション計画のドキュメント\n・ステークホルダー別（例：脆弱性報告者、製品・サービスの利用者、サプライチェーンパートナー、監督官庁）のコミュニケーションに関する計画（例：役割、対象、内容、タイミング、方法、連絡体制）\n・脆弱性の深刻度（例：CVSSスコア）や影響範囲に応じて、コミュニケーションの対象、公開内容、公開タイミング等を定めた計画\n・関係者への一次応答時間、調査状況の定期的な連絡頻度など、コミュニケーションに関する具体的なサービスレベル","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.1"]
["S(3)-1.2.1.2.1","最低限/標準","外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付けるための連絡先を公開している。","ドキュメント評価：\n脆弱性対応に関するコミュニケーションの一環として、外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付ける際に必要な連絡先を公開することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織のウェブサイト等を実際に確認し、脆弱性報告の窓口が利用者にわかりやすく提供されているかを確認する。","■コミュニケーションチャネルのドキュメント\n・脆弱性報告窓口（例：窓口情報が記載されたウェブページ、ウェブフォーム、専用メールアドレス）、及びその窓口情報を公開する記述（例：組織のウェブサイト、製品ドキュメント）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.2"]
["S(3)-1.2.1.2.2","標準","脆弱性情報やセキュリティ勧告を公開する手段を利用者向けに整備している。","ドキュメント評価：\n脆弱性の取扱に関するコミュニケーションの一環として、公開コミュニケーションチャネルを通じて、脆弱性情報やセキュリティ勧告を公開する手段を整備し、利用者が容易にアクセスできるような状態とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織のウェブサイト等を実際に確認し、脆弱性の情報公開の場が利用者にわかりやすく提供されているかを確認する。","■コミュニケーションチャネルのドキュメント\n・セキュリティアドバイザリ、注意喚起情報（例：自社が公開するウェブページ、顧客に対するメール送信、公的な脆弱性データベース・リポジトリ、メーリングリスト・フォーラム、CSIRT・ISAC等の組織を通じた公開）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.2"]
["S(3)-1.3.1.1.1","最低限/標準","公的もしくは外部サービスとして提供される公知脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関連する脆弱性情報を収集した資料や情報がある。","ドキュメント評価：\nJVNやNVD等の公開もしくは外部サービスとして提供される脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関する脆弱性情報を収集するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合、設計・開発段階における脆弱性情報の監視・収集など、そのフェーズで対応すべきドキュメントを評価する。","■脆弱性情報の監視・収集手続き及び結果のドキュメント\n・監視対象とする基本的な情報源のリスト（例：JVN、NVD）\n・収集した公知脆弱性の情報（例：脆弱性データベース、メーリングリスト、各種レポート）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.1"]
["S(3)-1.3.1.1.2","標準","公知情報源に加え、外部の脅威インテリジェンスサービスや所属するISAC等、複数の情報源から情報を収集した資料や情報がある。","ドキュメント評価：\n外部の脅威インテリジェンスサービス等、複数の情報源から、ソフトウェア及びそのコンポーネントに関する脆弱性情報を継続的に収集するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合、設計・開発段階における脆弱性情報の監視・収集など、そのフェーズで対応すべきドキュメントを評価する。","■脆弱性情報の監視・収集手続き及び結果のドキュメント\n・監視対象とする情報源のリスト（例：利用している商用サービス名、加盟ISAC名など）\n・収集した脆弱性の情報（例：脅威インテリジェンスからのレポート等）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.1"]
["S(3)-1.3.1.2.1","最低限/標準","ソフトウェアコンポーネントの供給元（サプライヤー）から脆弱性情報を受け取った記録がある。","ドキュメント評価：\nソフトウェア及びそのコンポーネントに関する脆弱性情報を、サプライチェーンやソフトウェア調達者等から受領するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合（この場合は、サプライチェーンからの脆弱性情報の通知はないと考えられる）、サプライヤーからの情報収集窓口等を整理した、事前に準備すべきドキュメントを評価する。","■サプライチェーンから脆弱性情報を受領した結果に関するドキュメント\n・サプライヤーのセキュリティ連絡先\n・（受領済の場合）サプライヤーからの脆弱性情報","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.2"]
["S(3)-1.3.1.3.1","最低限/標準","脆弱性対応に関するコミュニケーション計画に則り、脆弱性報告窓口として公開したチャネルから脆弱性情報を収集した資料や情報がある。","ドキュメント評価：\nソフトウェア及びそのコンポーネントに関する脆弱性情報を、脆弱性報告窓口を通じて利害関係者から受領するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合（この場合は、脆弱性情報の通知はないと考えられる）、情報収集窓口等を整理した、事前に準備すべきドキュメントを評価する。","■脆弱性報告窓口から脆弱性情報を受領した結果に関するドキュメント\n・公開した脆弱性報告窓口から受領した脆弱性情報（ソフトウェア調達者及び利用者、外部のセキュリティ研究者等からの報告を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.3"]
["S(3)-1.3.2.1.1","最低限/標準","ソフトウェアを構成するコンポーネント（特にライブラリなどのサードパーティ製コンポーネント）の名称とバージョンを含む一覧に関する資料や情報がある。","ドキュメント評価： \n脆弱性の分析に必要となる脆弱性情報を収集するため、ソフトウェアを構成するコンポーネントの基本的な情報を特定し、管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアを構成するコンポーネントのリストが存在することを確認する。","■潜在的脆弱性情報を収集すべき対象を整理したドキュメント\n・ソフトウェアを構成するコンポーネントの一覧（例：管理台帳、スプレッドシート）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.2","S(3)-1.3.2.1"]
["S(3)-1.3.2.1.2","標準","コンポーネント構成のトレーサビリティに関する情報の生成・更新プロセスを自動化または半自動化する環境を整備している場合、SBOMなどの標準的な形式の構成情報がある。","ドキュメント評価： \n脆弱性の分析に必要となる脆弱性情報を収集するため、ソフトウェアのコンポーネント構成のトレーサビリティに関する情報を正確かつ効率的に特定し、管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nSBOM等の標準形式を活用した構成管理の自動化・継続的な実施を確認する。","■潜在的脆弱性情報を収集すべき対象を整理したドキュメント\n・ソフトウェアを構成するコンポーネントの一覧（例：SBOMファイル（例：CycloneDX、SPDX形式））","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.2","S(3)-1.3.2.1"]
["S(3)-1.3.2.2.1","最低限/標準","コンポーネントの構成情報を利用した探索・分析に基づき、潜在的脆弱性の有無を確認した資料や情報がある。","ドキュメント評価： \nソフトウェアのコンポーネントの構成情報を用いて脆弱性情報の探索・分析を行い、ソフトウェアに対する潜在的な脆弱性の有無を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■潜在的脆弱性情報を収集した結果に関するドキュメント\n・特定したソフトウェアコンポーネントの構成情報の分析に基づいて収集した脆弱性情報","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.2","S(3)-1.3.2.2"]
["S(3)-1.4.1.1.1","最低限/標準","リリース後のソフトウェアのコンポーネント構成情報と、収集した公知脆弱性情報とを突合し、影響を受ける可能性のある脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。","ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある、今まで未検出であった潜在的な脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的又は定期的に脆弱性を特定・確認するために、公知脆弱性情報との突合を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n「継続的又は定期的」とは、開発・運用するソフトウェアのリスクレベルや特性に応じて、組織が定めた頻度（例：年次、四半期毎、リリース毎や新たな脅威や技術環境の変化のタイミングなど）での実施を指す。","■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・公知脆弱性情報に基づく潜在的脆弱性の特定に関する継続的又は定期的な活動のための手続き\n・公知脆弱性情報に基づく潜在的脆弱性の特定に関する活動の記録（特定した対処すべき脆弱性の記述を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.4","S(3)-1.4.1","S(3)-1.4.1.1"]
["S(3)-1.4.1.1.2","標準","リリース後のソフトウェアのコンポーネント構成情報と収集した脆弱性情報を活用し、コードとコンポーネントに対するレビュー、分析、テストの複数の手法を用いた、潜在的脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。","ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある、今まで未検出であった潜在的な脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的又は定期的に脆弱性を特定・確認するための活動（静的テスト（コードレビュー、静的解析ツールの利用など）とドキュメントのレビューを組み合わせるなど、レビュー、分析、テストの複数の手法を用いた脆弱性を特定するための調査など）を、組織内で定義されたプロセスと整合した計画に基づき実施していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n「継続的又は定期的」とは、開発・運用するソフトウェアのリスクレベルや特性に応じて、組織が定めた頻度（例：年次、四半期毎、リリース毎や新たな脅威や技術環境の変化のタイミングなど）での実施を指す。","■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・レビュー、分析、テストに基づく潜在的脆弱性の特定に関する継続的又は定期的な活動のための手続き\n・レビュー、分析、テストに基づく潜在的脆弱性の特定に関する活動の記録（特定した対処すべき脆弱性の記述を含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.4","S(3)-1.4.1","S(3)-1.4.1.1"]
["S(3)-1.4.1.1.3","標準","脆弱性を特定・確認するための活動の対象として、ソースコードだけでなく、設定ファイルや実行可能コードも考慮した記録がある。","ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的に脆弱性を特定・確認するための活動（レビュー、分析、テスト）において、対象として設定ファイルや実行可能コードも考慮していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・潜在的脆弱性の特定に関する活動の記録（対象として、設定ファイル、実行可能コードを含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.4","S(3)-1.4.1","S(3)-1.4.1.1"]
["S(3)-2.1.1.1.1","最低限/標準","収集し識別した脆弱性について、対象ソフトウェアへの影響を判断するために必要な情報を更に収集していることがわかる基本的な資料や情報がある。","ドキュメント評価：\n収集した脆弱性情報のうちリスクへの影響が懸念されるものとして識別した脆弱性について、その脆弱性がもたらすリスクを分析し、修正等の対応計画を検討するために、必要な情報を収集していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本項目は、脆弱性情報を広く監視する定常的な活動（S(3)-1.3で評価）とは異なり、特定の脆弱性に対する詳細な調査活動そのものを評価対象とする。","■各脆弱性への対応に必要な情報のドキュメント\n・収集し識別した脆弱性に関する情報（例：悪用方法、前提条件）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.1","S(3)-2.1.1","S(3)-2.1.1.1"]
["S(3)-2.1.2.1.1","最低限/標準","収集し特定された脆弱性情報、及びその影響を判断するために収集した情報を前提として、脆弱性の深刻度及び影響の定性的な評価に関する資料や情報がある。","ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、その脆弱性がもたらすリスクを評価するための分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、脆弱性が該当しないと考えられる）、当該段階において実施すべき手順など、現状あるべきドキュメントを評価する。","■脆弱性の影響分析のドキュメント\n・識別した脆弱性の深刻度及び影響を評価及び分析するための手続き\n・識別した脆弱性の悪用可能性の評価（影響）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.1","S(3)-2.1.2","S(3)-2.1.2.1"]
["S(3)-2.1.2.1.2","標準","CVSS等の標準的な評価基準を用いた深刻度に関する定量的な評価に関する資料や情報がある。","ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、その脆弱性がもたらすリスクを評価するための定量的な分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価者は、各脆弱性に関する分析結果が、客観的な根拠に基づいて記録されていることを確認する。","■脆弱性の影響分析のドキュメント\n・識別した脆弱性の悪用可能性の定量的評価（深刻度）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.1","S(3)-2.1.2","S(3)-2.1.2.1"]
["S(3)-2.1.2.1.3","標準","攻撃コードの有無や悪用実績などを考慮して脆弱性がもたらす使用環境における実際のリスクを分析した資料や情報がある。","ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、ソフトウェアの使用環境を踏まえてその脆弱性がもたらすリスク（例：導入済みの緩和策の考慮）を評価するための分析を、組織内で定められた手続きに従って実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性の影響分析のドキュメント\n・識別した脆弱性の悪用可能性の評価及び分析結果（例：脆弱性がもたらす使用環境における機密性、完全性、可用性への影響）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.1","S(3)-2.1.2","S(3)-2.1.2.1"]
["S(3)-2.2.1.1.1","最低限/標準","識別した脆弱性に対する対応方針及び優先順位付けに関する資料や情報がある。","ドキュメント評価：\n識別した脆弱性に対し、是正、軽減、リスク受容といった対応方針と優先度を決定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","■脆弱性の対処方針を示すドキュメント\n・脆弱性への対応方針（例：是正、軽減、リスク受容）及び優先順位付け","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.1"]
["S(3)-2.2.1.1.2","標準","脆弱性の深刻度（CVSS等）や事業への影響度等を考慮したリスク評価に基づく、対応方針の策定根拠に関する資料や情報がある。","ドキュメント評価：\n識別した脆弱性に対し、脆弱性の深刻度や事業への影響度等を考慮したリスク分析・評価を行い、その結果に基づいて、是正、軽減、リスク受容といった対応方針を決定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","■脆弱性の分析・評価に基づく対処方針を示すドキュメント\n・評価結果に基づく脆弱性への対応方針（是正、軽減、リスク受容等）及び優先順位付け\n・対応方針の策定根拠（例：対応、受容等の効果判定）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.1"]
["S(3)-2.2.1.2.1","最低限/標準","対応方針が決定された脆弱性について、対応計画に関する資料がある。","ドキュメント評価：\n識別した脆弱性に対し、対応計画を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","■脆弱性への対応計画に関するドキュメント\n・対応計画（例：担当者、対応方法、対応スケジュール）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.2"]
["S(3)-2.2.1.2.2","標準","対応の緊急度（例：緊急、高、中、低）に基づく具体的な対応計画に関する資料がある。","ドキュメント評価：\n識別した脆弱性に対し、対応方針に従って優先順位を付け、具体的な対応計画を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","■脆弱性への対応計画に関するドキュメント\n・対応計画（例：担当者、対応方法、対応スケジュール、緊急度に基づく対応期限）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.2"]
["S(3)-2.2.2.1.1","最低限/標準","識別した脆弱性に対して策定した対応計画に従ってリスク対応を実施したことを示す記録がある。","ドキュメント評価：\n策定した対応計画に従って、識別した脆弱性へのリスク対応アクションを実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nリスク受容など具体的な対応を実施しない場合は、評価を割愛できる。","■リスク対応の実施結果のドキュメント\n・リスク対応の実施結果（例：パッチ準備、対応内容を含むリリースノート、変更履歴、設定変更の通知準備）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.2","S(3)-2.2.2.1"]
["S(3)-2.2.2.2.1","最低限/標準","脆弱性対応の実装後に、その対応内容を確認するためのテスト又は検証を実施した結果に関する資料や情報がある。","ドキュメント評価：\n策定した対応計画に従って、識別した脆弱性へのリスク対応アクションとして何らかの実装が行われた場合、その実装が意図通りに残存する脆弱性を解消し、かつ他の悪影響を生まないことを確認したテスト・検証活動を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n実装を伴わない場合には、評価を割愛できる。","■実装後のテスト結果のドキュメント\n・脆弱性対応の実装に関するテスト計画、テスト結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.2","S(3)-2.2.2.2"]
["S(3)-2.3.1.1.1","最低限/標準","脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告に関する資料や情報がある。","ドキュメント評価： \n開発者として、識別し対応内容を検証済みとした脆弱性に関するセキュリティ勧告を作成していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、勧告が発行されていない場合であっても、勧告の発行と提供に関する手続きが文書で定められていることを確認する。","■セキュリティ勧告に関するドキュメント\n・発行済みのセキュリティ勧告（脆弱性の内容、影響を受ける製品やバージョン、深刻度、考えられる影響、対処方法（例：パッチの入手先、パッチ適用方法、変更すべき構成設定、暫定的な回避策）を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.1","S(3)-2.3.1.1"]
["S(3)-2.3.1.2.1","最低限/標準","ソフトウェアの供給先へセキュリティ勧告を提供するための手続があり、それに従って提供した記録がある。","ドキュメント評価： \n開発者として、識別し対応内容を検証済みとした脆弱性に関するセキュリティ勧告をソフトウェアの供給先に提供するプロセスを確立し、運用していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ勧告の提供プロセスに関するドキュメント\n・セキュリティ勧告の発行に関する手続き（例：実施手順（例：ウェブサイトの公開、メール通知）、発行基準）\n・セキュリティ勧告の公開記録（例：ウェブサイトの公開履歴のスクリーンショット、メールの送信ログ、ポータルサイトへの掲載記録など、提供の事実を示す記録）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.1","S(3)-2.3.1.2"]
["S(3)-2.3.2.1.1","最低限/標準","脆弱性届出制度から情報提供を受けた際の対応について、情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続きに基づく対応手順に関する資料や情報がある。","ドキュメント評価： \n脆弱性届出制度に基づいて脆弱性情報の提供を受けた際の対応手順が、情報セキュリティ早期警戒パートナーシップガイドラインに準拠して定義され、その手順に従って実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続き）に準拠した対応手順が文書で定められていることを確認する。","■脆弱性の対処に関するドキュメント\n・情報セキュリティ早期警戒パートナーシップガイドラインに準拠した脆弱性対応に関する手順の記述\n・脆弱性届出制度から情報提供を受けた際の対応の記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.2","S(3)-2.3.2.1"]
["S(3)-2.3.3.1.1","最低限/標準","開発者や供給者等から発行されたセキュリティ勧告を受領し、影響評価を行った資料や記録がある。","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告を受領し、その勧告に従う場合の影響を評価していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（セキュリティ勧告に基づく影響評価）に準拠した対応手順が文書で定められていることを確認する。","■セキュリティ勧告の影響評価に関するドキュメント\n・セキュリティ勧告の影響評価結果（例：ソフトウェアの利用、関連システムの運用、組織への影響）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.1"]
["S(3)-2.3.3.1.2","標準","代替策の実施やリスク受容等を承認する根拠となる資料や情報がある。","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告の評価に基づき、対策を実施しない（リスク受容）判断を行った場合、根拠に基づき代替策を承認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（セキュリティ勧告に従わない場合の対応、及びその承認に関する手続き）に準拠した対応手順が文書で定められていることを確認する。","■セキュリティ勧告の影響評価に関するドキュメント\n・セキュリティ勧告に従った対応以外の代替策の根拠情報","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.1"]
["S(3)-2.3.3.2.1","最低限/標準","セキュリティ勧告の影響評価の結果に基づく、対策（例：パッチの配備、設定変更）の計画の資料や情報がある。","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告に関する影響評価の結果に基づき、対策（パッチの配備等）を計画・実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ勧告への対応計画に関するドキュメント\n・セキュリティ対応の達成手段（例：パッチ、設定変更、代替策の実施）の実施計画","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.2"]
["S(3)-2.3.3.2.2","標準","運用者として対策を適用する前に、事前検証を実施した記録がある。","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告に基づく対策（パッチの配備等）を実施する前に、事前検証を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対策の実施だけでなく、対策を実施しない（リスク受容）判断についてもその承認に十分な根拠情報を確認する。","■セキュリティ勧告への対応時の事前検証に関するドキュメント\n・セキュリティ対応の事前検証結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.2"]
["S(3)-3.1.1.1.1","標準","発見された脆弱性に対して、根本原因を分析・特定した資料や情報がある。","ドキュメント評価：\n発見された脆弱性に対して、その直接的な原因の修正に留まらず、なぜその脆弱性が作り込まれたのかという根本原因を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■根本原因の分析結果に関するドキュメント\n・根本原因の分析結果（特定した根本原因を含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.1","S(3)-3.1.1","S(3)-3.1.1.1"]
["S(3)-3.1.1.1.2","標準","根本原因を長期にわたり分析するための情報収集の手続きに関する資料や情報がある。","ドキュメント評価：\n発見された脆弱性に対して、その直接的な原因の修正に留まらず、なぜその脆弱性が作り込まれたのかという根本原因を特定するための情報収集を長期にわたり実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■根本原因の分析結果に関するドキュメント\n・根本原因を長期にわたり分析するための情報収集の手段と手続き（根本原因の発生を自動的又は半自動的に検出する仕組み、一連のプラクティスのパターンに着目した情報収集など）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.1","S(3)-3.1.1","S(3)-3.1.1.1"]
["S(3)-3.1.1.2.1","標準","過去に検出された脆弱性の根本原因分析の結果に基づき、同種の脆弱性を組織内の他のソフトウェアから探索・特定し、同種の脆弱性を排除するための活動を計画・実施した資料や情報がある。","ドキュメント評価：\n発見された複数の脆弱性から共通する組織的な弱点や傾向を特定し、同種の脆弱性が組織内の他のソフトウェアに存在しないかを探索し、その脆弱性の発生頻度を低減する活動（水平展開）を計画・実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性の発生頻度低減活動に関するドキュメント\n・類似脆弱性の探索・特定のための活動計画（例：レビューチェックリスト、テストケース）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.1","S(3)-3.1.1","S(3)-3.1.1.2"]
["S(3)-3.2.1.1.1","標準","根本原因分析に基づき、プロセスや慣行を見直し、更新したプロセスを定義した資料や情報がある。","ドキュメント評価：\n特定された脆弱性の根本原因が、今後の開発・運用プロセスにおいて再発することを防ぐために、プロセス自体の見直しと改善を適切に計画、実装していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n根本原因の分析結果を起点として、プロセス改善の計画策定、規程類への反映という一連の流れが、文書間で追跡可能であることを確認する。","■更新したプロセスを定義したドキュメント\n・改訂された手順書（例：開発標準、コーディング規約、テスト手順書、運用手順書）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.2","S(3)-3.2.1","S(3)-3.2.1.1"]
["S(3)-3.2.1.2.1","標準","改訂されたプロセスや慣行を、開発者や運用者等の関係者に周知した記録がある。","ドキュメント評価：\n特定された脆弱性の根本原因が、今後の開発・運用プロセスにおいて再発することを防ぐために、見直しと改善を実施したプロセス自体を、開発者や運用者等の関係者に展開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■再発防止策の実装と展開の状況に関する記録\n・関係者への周知記録（例：通知メール、回覧記録）\n・教育・研修の実施記録（例：研修資料、受講者リスト、理解度テスト結果）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.2","S(3)-3.2.1","S(3)-3.2.1.2"]
["S(3)-3.2.1.2.2","標準","特定した脆弱性の根本原因が再発していないかを継続的に監視している記録がある。","ドキュメント評価：\n特定した脆弱性の根本原因が、開発・運用プロセスにおいて再発していないか監視していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■再発防止策の実装と展開の状況に関する記録\n・リリース後に、特定した既知脆弱性の根本原因が再発していないことの監視記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.2","S(3)-3.2.1","S(3)-3.2.1.2"]
["S(4)-1.1.1.1.1","標準","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義した資料がある。","ドキュメント評価： \nソフトウェア開発ライフサイクル関連の役割と責務を網羅的に定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の定義前と考えられる）、当該段階において割り当てられているべき役割と責務に関する策定済の定義など、現状あるべきドキュメントを評価する。","■ソフトウェア開発・供給・運用関連の全ての役割と責務を定義したドキュメント\n・ソフトウェア開発・供給・運用に関わる人員の全ての役割と責務の一覧（例：セキュリティ管理、リスク管理、サプライチェーン管理に係るすべての役割と責任）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.1","S(4)-1.1.1","S(4)-1.1.1.1"]
["S(4)-1.1.1.2.1","標準","ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていることを示す資料や情報がある。","ドキュメント評価： \nソフトウェア開発ライフサイクル関連の役割と責務をソフトウェア開発・供給・運用の全要員に対して割り当てていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の全要員への割り当ての実施前と考えられる）、当該段階において割り当てられているべき役割と責務に関する策定済の定義など、現状あるべきドキュメントを評価する。","■ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務の割り当てを示すドキュメント\n・全要員への役割と責務の割り当ての一覧","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.1","S(4)-1.1.1","S(4)-1.1.1.2"]
["S(4)-1.2.1.1.1","最低限/標準","セキュアな開発・運用について、経営層に報告、あるいは理解を促進するための活動を実施した資料や情報がある。","ドキュメント評価： \nインタビュー評価： \nSDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減を経営層が、理解していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメント及び、経営層へのインタビュー等をエビデンスとして評価する。","■セキュアな開発・運用に対する経営層の関与を示すドキュメント\n・経営層（例：経営トップ、上級マネジメント、承認権限者）へのリスク及び、リスク軽減に関する報告（リスク分析結果やセキュア開発の取組方針の説明）\n・経営層での報告や議論、説明会の記録（例：会議録）\n■経営層へのインタビュー\n・SDLCにセキュリティを組み込まないことによるリスク（例：脆弱性の残存などによるビジネス損失）とセキュア開発によるリスク軽減（例：脆弱性の早期発見などによるビジネス損失の防止）に関する経営層の認識","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.2","S(4)-1.2.1","S(4)-1.2.1.1"]
["S(4)-1.2.1.2.1","最低限/標準","セキュアな開発・運用の必要性を可視化しその推進方針等を、経営層が承認した資料や情報がある。","ドキュメント評価：\n組織としてセキュアな開発・運用に取り組むことを経営層が推進方針としていることを、責務として認識し実施していることについて「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。","■セキュアな開発・運用に対する経営層のコミットメントに関するドキュメント\n・セキュアな開発・運用に対する組織としての推進方針（例：社内通達での経営メッセージ、組織としてのセキュリティポリシー）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.2","S(4)-1.2.1","S(4)-1.2.1.2"]
["S(4)-1.2.2.1.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュアな開発・運用の推進方針を周知した記録がある。","ドキュメント評価： \nセキュアな開発・運用に対する経営層のコミットメントがソフトウェア開発・供給・運用の関連役割を持つ全担当者に届く仕組みを提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。","■セキュアな開発・運用に対する経営層のコミットメントの周知に関する記録\n・ソフトウェア開発・供給・運用の関連役割を持つ全担当者への、経営層（例：経営トップ、上級マネジメント、承認権限者）のセキュアな開発・運用への推進方針の周知記録（例：社内通達）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.2","S(4)-1.2.2","S(4)-1.2.2.1"]
["S(4)-1.2.2.2.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に対する、組織にとってのセキュアな開発・運用の重要性に関する教育の資料や情報がある。","ドキュメント評価： \nソフトウェア開発・供給・運用の関連役割を持つ全担当者に対して、セキュアな開発・運用の重要性を理解させるための仕組みを提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。","■セキュアな開発・運用に関わる教育のドキュメント\n・ソフトウェア開発供給運用の関連役割を持つ全担当者向けのセキュア開発に関する教育（例：教育計画、教育プログラム）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.2","S(4)-1.2.2","S(4)-1.2.2.2"]
["S(4)-1.3.1.1.1","標準","セキュアな開発・運用の役割と責務について各要員が理解したことを示す資料や情報が存在すること。","ドキュメント評価：\nセキュアな開発・運用の役割と責務を各要員が理解していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の定義の実施前と考えられる）、役割と責務の理解促進の手続きなど、現状あるべきドキュメントを評価する。","■役割と責務について各要員の理解を示すドキュメント\n・セキュアな開発・運用の役割と責務の理解を促進する手続きに関する記録（例：役割と責務の一覧とトレーニング計画とその記録）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.3","S(4)-1.3.1","S(4)-1.3.1.1"]
["S(4)-1.3.1.2.1","標準","セキュアな開発・運用の役割と責務について各要員が同意することを確認した資料や情報がある。","ドキュメント評価：\nインタビュー評価：\nセキュアな開発・運用の役割と責務について各要員が従うことに同意しているか確認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントやインタビューをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全要員への役割と責務の割り当ての実施前と考えられる）、役割と責務の同意の手続きなど、現状あるべきドキュメントを評価し、現要員の認識についてインタビューや関連するドキュメントを評価する。","■役割と責務についての同意取得に関するドキュメント\n・役割と責務について同意していることを示す記録（例：全要員の誓約書）\n\n■役割と責務についての同意取得に関するインタビュー\n・役割と責務について同意していることの認識（例：主要な役割の担当をサンプリング）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.3","S(4)-1.3.1","S(4)-1.3.1.2"]
["S(4)-1.4.1.1.1","標準","セキュアな開発・運用に関する習熟度に応じたトレーニングの目標が定義され、その測定方法、トレーニングカリキュラムに関する資料や情報がある。","ドキュメント評価：\nセキュアな開発・運用に関する各役割の習熟度に応じたトレーニングの目標に基づき、トレーニングを設計し、その効果を測定する仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■トレーニング計画のドキュメント\n・トレーニングの成果測定のプロセス（測定方法（例：理解度テスト、受講後アンケート等）、判断方法、基準等）\n・各役割のトレーニング目標とその達成に必要なトレーニングカリキュラム","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.4","S(4)-1.4.1","S(4)-1.4.1.1"]
["S(4)-1.4.2.1.1","標準","セキュアな開発・運用に関するトレーニング計画を実現するためのトレーニングを受講できるように提供している資料や情報があること。","ドキュメント評価： \n全要員に習熟度と役割に応じたセキュアな開発・運用に関するトレーニング環境を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■トレーニングのコンテンツに関するドキュメント\n・教育コンテンツ（例：セキュアなソフトウェア開発手法、セキュアコーディング標準、役割固有のベストプラクティス、AI サポートによる自動化支援（品質向上）の手法）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.4","S(4)-1.4.2","S(4)-1.4.2.1"]
["S(4)-1.4.2.2.1","標準","セキュアな開発・運用に関するトレーニング計画に基づき、全要員が習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを受講したことに関する記録がある。","ドキュメント評価： \n全要員に対して習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n全要員へのトレーニングが完了していない段階では、トレーニングの実施計画や未受講者への督促記録など、現状あるべきドキュメントを評価する。","■トレーニングを実施した記録\n・習熟度と役割に応じた全要員のトレーニング記録（例：受講履歴）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.4","S(4)-1.4.2","S(4)-1.4.2.2"]
["S(4)-1.5.1.1.1","標準","セキュアな開発運用に関わる定期的又は継続的な役割の見直し手続きが定義された資料や情報がある。","ドキュメント評価： \nセキュアな開発・運用の全ての役割を、定期的又は継続的に見直す仕組みを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■役割に関するレビュー計画のドキュメント\n・役割の見直しに関するレビュー計画\n・役割の見直し（例：新しい役割の設定、既存の役割の変更）に関する手続き","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.5","S(4)-1.5.1","S(4)-1.5.1.1"]
["S(4)-1.5.1.2.1","標準","レビューに基づく、セキュアな開発・運用に関わる新しい役割の設定や既存の役割の変更に関する記録がある。","ドキュメント評価： \nセキュアな開発・運用の全ての役割を、定期的又は継続的に見直す仕組みが機能することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のプロジェクトの初期段階である場合（この場合は、全ての役割の見直し前と考えられる）、記録の確認は省略することができる。","■役割に関するレビューの結果のドキュメント\n・セキュアな開発・運用に関する全ての役割の更新記録\n・セキュアな開発・運用の全ての役割に関するレビュー結果（例：定期的なレビュー会議の記録、開発体制の見直しや新たな技術の導入、重大インシデントの発生などに伴うレビュー記録）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.5","S(4)-1.5.1","S(4)-1.5.1.2"]
["S(4)-1.5.2.1.1","標準","トレーニング効果の測定結果の分析に基づき、セキュアな開発・運用に関わるトレーニングプログラムを更新した記録がある。","ドキュメント評価： \n要員の習熟度と役割ベースのトレーニングの効果測定に基づき、セキュアな開発・運用に関わるトレーニングを改善することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■トレーニングプログラムに関する更新の記録\n・トレーニングプログラムの更新プロセス（例：トレーニングの更新タイミング、更新計画の策定手順）\n・トレーニングパフォーマンスの測定結果の分析に基づくトレーニングカリキュラムの変更内容","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.5","S(4)-1.5.2","S(4)-1.5.2.1"]
["S(4)-2.1.1.1.1","最低限/標準","ソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","ドキュメント評価：\nセキュア開発の土台となるソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関する基本的なセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.1","S(4)-2.1.1","S(4)-2.1.1.1"]
["S(4)-2.1.1.1.2","標準","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","ドキュメント評価：\nSDLC全体を通じたセキュア開発の土台となるソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わる全てのセキュリティ要件をリスクベースで特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関する全てのセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.1","S(4)-2.1.1","S(4)-2.1.1.1"]
["S(4)-2.1.2.1.1","最低限/標準","ソフトウェア開発の観点から、事業に関連する主要な法規制をリストした資料や情報がある。","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる社内ポリシーが満たすべき、主要な法的要件からの要求事項を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件の整理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.1","S(4)-2.1.2","S(4)-2.1.2.1"]
["S(4)-2.1.2.1.2","標準","ソフトウェア開発の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる社内ポリシーが満たすべき、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準といった外部からの要求事項を整理・追跡していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件の管理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）\n・業界標準（例：Shifting the Balance of Cybersecurity Risk, FISC安全対策基準）\n・業界のベストプラクティスに関するリスト\n・外部要件の改訂等を監視・収集する手順","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.1","S(4)-2.1.2","S(4)-2.1.2.1"]
["S(4)-2.2.1.1.1","最低限/標準","開発するソフトウェアに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、基本的なソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発ソフトウェアに適用するセキュリティ要件を定めたドキュメント\n・開発ソフトウェアに関する基本的なセキュリティ要件\n例：セキュアバイデザインの考慮、ソフトウェアの寿命（EOL/EOS）に関する基本的な考え方、基本的なアーキテクチャ、設計レベルのセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.1"]
["S(4)-2.2.1.1.2","標準","開発するソフトウェアに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、SDLC全体にわたるセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n一律のセキュリティ要件を定義する代わりに、リスクベースでの分析を行い、具体的なアーキテクチャや設計、ライフサイクル管理の要件を規定してもよい。\nなお、本評価では、組織共通のセキュリティ要件定義を特定しており、(1)-1では、個別プロジェクトのセキュリティ要件を定義する。","■開発ソフトウェアに適用するセキュリティ要件を定めたドキュメント\n・開発ソフトウェアに関するSDLC全体にわたるセキュリティ要件\n例：扱うデータの機微度、公開範囲等に応じたアーキテクチャ、設計、実装レベルの要件、、ライフサイクルのチェックポイントにおける検証フロー要件","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.1"]
["S(4)-2.2.1.2.1","最低限/標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、ソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を規定したポリシーを見直ししていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■レビューの記録\n・ソフトウェアに適用するセキュリティ要件を規定したポリシーの見直し履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.2"]
["S(4)-2.2.1.2.2","標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーについて定期的又は継続的にレビューを実施した記録がある。","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、ソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を維持するために、外部環境等の変化に対応して定期的又は継続的に規定したポリシーを更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nSDLC全体にわたってセキュリティ要件をレビューすることに注意する。","■レビューの記録\n・ソフトウェアに適用するセキュリティ要件を規定したポリシーの定期的又は継続的な見直し履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.2"]
["S(4)-2.3.1.1.1","最低限/標準","ソフトウェア開発に関わるセキュリティ活動のための予算が承認されていることを示す記録がある。","ドキュメント評価：\nセキュア開発を支えるため、経営層が、セキュリティ対策の必要性、コスト、影響を理解した上で、適切な予算を確保することを責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■予算の実行状況に関する記録\n・セキュア開発活動に関する、もしくはセキュア開発活動を含む予算の承認記録（例：計画書、稟議書、予算執行実績）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.3","S(4)-2.3.1","S(4)-2.3.1.2"]
["S(4)-2.3.1.1.2","標準","セキュリティ対策の必要性、コスト、影響を踏まえたセキュア開発方針に関する予算が承認されていることを示す記録がある。","ドキュメント評価：\nセキュア開発を支えるため、経営層が、セキュリティ対策の必要性、コスト、影響を理解した上で、セキュア開発方針に関する予算を確保することを責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。なお、計画・見込み等により考慮されていることを評価する。","■予算の実行状況に関する記録\n・セキュア開発活動に関する、もしくはセキュア開発活動を含む予算の承認記録（例：計画書、稟議書、予算執行実績）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.3","S(4)-2.3.1","S(4)-2.3.1.2"]
["S(4)-2.3.2.1.1","最低限/標準","経営層やプロジェクト責任者が、脆弱性の放置が将来のコスト増に繋がることをリスクとして認識していることを示す資料や情報がある。","インタビュー評価：\nドキュメント評価：\n経営者やプロジェクト責任者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債（サイバー攻撃による損害など）につながることを共通の経営リスクとして認識することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n特に経営層の認識については、関係者へのインタビューの他、要員の認識向上の取組を示す教育記録等の評価方法を採用することも考えられる。","■経営層等へのインタビュー\n・経営層、プロジェクト責任者の脆弱性放置に関するリスク認識（インタビュー、もしくはその記録等）\n\n■経営層のリスク認識を反映したドキュメント\n・経営層での報告や議論の記録（例：会議録）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.3","S(4)-2.3.2","S(4)-2.3.2.1"]
["S(4)-2.3.2.1.2","標準","脆弱性放置のリスクに関する、全社的なセキュリティ教育や開発者向けトレーニング等の啓発活動の資料や情報がある。","ドキュメント評価：\n経営者を含む全ての関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債（サイバー攻撃による損害など）につながることを共通の経営リスクとして認識することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■全社員の認識に関するドキュメント\n・脆弱性放置がもたらすリスクに関する教育記録、教育プログラム","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.3","S(4)-2.3.2","S(4)-2.3.2.1"]
["S(4)-3.1.1.1.1","最低限/標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","ドキュメント評価：\nセキュアなソフトウェアサービス運用の土台となるサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nなお、S(4)-2が開発フェーズに焦点を当てており、S(4)-3は運用フェーズに焦点を当てる。","■ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びソフトウェア運用プロセスに関する基本的なセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.1","S(4)-3.1.1","S(4)-3.1.1.1"]
["S(4)-3.1.1.1.2","標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","ドキュメント評価：\nセキュアなソフトウェアサービス運用の土台となるサービス運用プロセスに関わる全てのセキュリティ要件をリスクベースで特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアを適用したサービス運用プロセスに関する全てのセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.1","S(4)-3.1.1","S(4)-3.1.1.1"]
["S(4)-3.1.2.1.1","最低限/標準","ソフトウェア運用の観点から、事業に関連する主要な法規制をリストした資料や情報がある。","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、ソフトウェアを適用したサービス運用インフラ・プロセスに関わる社内ポリシーが満たすべき、主要な法的要件からの要求事項を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件の整理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.1","S(4)-3.1.2","S(4)-3.1.2.1"]
["S(4)-3.1.2.1.2","標準","ソフトウェア運用の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、ソフトウェアを適用したサービス運用インフラ・プロセスに関わる社内ポリシーが満たすべき、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準といった外部からの要求事項を整理・追跡していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件の管理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）\n・業界標準（例：ISMAP、ISO/IEC 27001, PCI DSS, FISC安全対策基準）\n・業界のペストプラクティスに関するリスト\n・外部要件の改訂等を監視・収集する手順","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.1","S(4)-3.1.2","S(4)-3.1.2.1"]
["S(4)-3.2.1.1.1","最低限/標準","ソフトウェアを適用したサービスに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、基本的なセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関する基本的なセキュリティ要件\n例：責任共有モデル等のソフトウェアを適用したサービスに関する基本的な考え方、ソフトウェアの寿命（EOS、廃棄）に関する基本的な考え方、基本的な運用要件（顧客データのバックアップ、ログの取得・保管、インシデント発生時の連絡体制、データの完全性確保対応、環境の分離等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1"]
["S(4)-3.2.1.1.2","最低限/標準","サービス運用者としてのセキュリティ責任範囲を定義した資料がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ責任範囲を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■ソフトウェアを適用したサービスの責任範囲を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティの責任範囲","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1"]
["S(4)-3.2.1.1.3","標準","ソフトウェア及びこれを適用したサービスに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、SDLC全体にわたるセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティ要件\n例：ライフサイクル全体にわたり扱うデータの機微度、公開範囲等に応じた、提供するサービスの可用性・完全性・機密性に関する目標レベルからの要件、顧客へのインシデント通知や顧客データのライフサイクル管理（隔離、暗号化、削除等）、サービスに対する脅威監視からの要件、ライフサイクルのチェックポイントにおける検証フロー要件","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1"]
["S(4)-3.2.1.1.4","標準","責任共有モデルに基づき、自社及び関連事業者側の責任範囲と顧客側の責任範囲を定義し、ポリシーに反映するとともに、顧客に開示した資料や情報がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、リスクベースの運用、保守等に関わるセキュリティ責任範囲を特定した上で、顧客に説明していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■ソフトウェアを適用したサービスの責任範囲を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティ責任範囲（自社、関連事業者、顧客間の関係を含む）\n・顧客への責任範囲に関する説明記録 ","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1"]
["S(4)-3.2.1.2.1","最低限/標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ要件を規定したポリシーを見直していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■レビューの記録\n・ソフトウェアを適用したサービスに関して適用するセキュリティ要件を規定したポリシーの見直し履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.2"]
["S(4)-3.2.1.2.2","標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関して定期的又は継続的にレビューを実施した記録がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ要件を維持するために、外部環境等の変化に対応して定期的又は継続的に規定したポリシーを改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■レビューの記録\n・ソフトウェアを適用したサービスに関して適用するセキュリティ要件を規定したポリシーの定期的又は継続的な見直し履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.2"]
["S(4)-3.3.1.1.1","標準","品質保証部門やセキュリティ部門など、担当部門から独立した組織がサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることについて監査を実施することを示す資料や情報がある。","ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査について、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするサービス運用インフラが運用開始前の段階である場合（この場合は、監査体制の整備途上と考えられる）、整備に向けた計画書や規定など、現状あるべきドキュメントを評価する。","■監査実施に関するドキュメント\n・監査を担当する部門の役割（例：担当部門から独立したことを示す組織図、分掌規程）\n・監査体制表\n・監査の手順（例：監査の基準、範囲などの監査計画、情報収集方法、監査で用いるツール類等の実施手順、報告先や報告書等の監査報告手順、監査人の技能及び能力の検証のためのメカニズム）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.3","S(4)-3.3.1","S(4)-3.3.1.1"]
["S(4)-3.3.2.1.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査報告書にて指摘事項を記録し、指摘事項に対して根本原因分析を行い、担当部門が是正対応を行っている記録がある。","ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認する監査を通じて検出された指摘に対して、根本原因の分析を踏まえた是正対応を行っていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n運用前の段階である場合（この場合は、監査の実施前と考えられる）、当該段階において策定すべき計画や方針など、現状あるべきドキュメントを評価する。","■監査と是正処置の記録\n・監査の指摘事項（例：監査報告書）\n・是正処置が完了したことを示す記録（例：是正処置計画書、完了報告書）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.3","S(4)-3.3.2","S(4)-3.3.2.1"]
["S(4)-3.3.2.2.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。","ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認する監査を通じて検出された指摘に対して、組織のプロセス改善やポリシー見直しがなされ、ガバナンスの確立に寄与していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n運用前の段階である場合（この場合は、監査の実施前と考えられる）、当該段階において策定すべき計画や方針など、現状あるべきドキュメントを評価する。","■プロセス改善とガバナンスへの反映の記録\n・監査結果を受けて改定された方針文書や手順書等の改訂履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.3","S(4)-3.3.2","S(4)-3.3.2.2"]
["S(4)-4.1.1.1.1","最低限/標準","ソフトウェアのリリースと運用継続の可否を判断するための最低限のソフトウェアのセキュリティ確認基準を定めた資料や情報がある。","ドキュメント評価：\nリリースと運用継続の可否を判断するための基準を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認\n基準に関するドキュメント\n・リリースと運用継続の判断基準（例：リリース時の致命的な脆弱性の検出状況）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.1","S(4)-4.1.1.1"]
["S(4)-4.1.1.1.2","標準","組織のセキュリティ目標に基づき、SDLCの各フェーズのセキュリティチェック基準として、複数の定量的・定性的な指標を定義した資料や情報がある。","ドキュメント評価：\n過去のプロジェクトの脅威、脆弱性情報、及び教訓を参考に、KPI、KRI、開発・運用フェーズの完了等のソフトウェアのセキュリティを確認するための基準を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認基準に関するドキュメント\n・フェーズ毎（要件定義、設計、実装、テスト、リリース、運用等）のセキュリティチェック基準（以下に例を示す）\n　　・設計・実装工程におけるセキュリティ観点レビュー完了率\n　　・テスト時のカバレジ、静的解析の指摘件数\n　　・リリース時の脆弱性の検出状況","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.1","S(4)-4.1.1.1"]
["S(4)-4.1.2.1.1","最低限/標準","最低限のセキュリティ確認基準（S(4)-4.1.1）のリスク管理効果に関する資料や情報がある。","ドキュメント評価：\nソフトウェアのリリースと運用継続の可否を判断するためのセキュリティ確認基準がセキュリティリスク管理活動の効果を示すことができるように設計することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","■セキュリティ確認基準とリスク管理効果を示すドキュメント\n・リリースと運用継続の可否を判断するためのセキュリティ確認基準とリスク管理の期待効果の対応（どのセキュリティリスクを低減させることを意図しているか）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.1"]
["S(4)-4.1.2.1.2","標準","セキュリティ確認基準とセキュリティリスクの管理効果に関する資料や情報がある。","ドキュメント評価：\nSDLC全体にわたってソフトウェアのセキュリティ確認基準がセキュリティリスク管理活動の効果を示すことができるように設計されていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","■セキュリティ確認基準とリスク管理効果とのトレーサビリティを示すドキュメント\n・SDLC全体にわたるセキュリティ確認基準とリスク管理の期待効果の対応（どのセキュリティリスク低減させることを意図しているか、そのトレーサビリティ）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.1"]
["S(4)-4.1.2.2.1","最低限/標準","開発・運用のライフサイクルプロセスにおいて、最低限のセキュリティ確認基準（S(4)-4.1.1）の測定結果がある。","ドキュメント評価：\nリリースと運用継続の可否を判断するためのソフトウェアのセキュリティ確認基準を測定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","■確認基準の記録\n・リリースと運用継続の可否を判断するためのセキュリティ確認基準の測定結果（例：リリース時の致命的な脆弱性の検出状況）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.2"]
["S(4)-4.1.2.2.2","標準","SDLCの各フェーズにおいて、測定したセキュリティ確認基準を判断材料として活用している記録がある。","ドキュメント評価：\nSDLC全体にわたって測定したソフトウェアのセキュリティ確認基準の結果に基づきSDLCを運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","■確認基準に基づくプロセス運用の記録\n・測定結果に基づくSDLCのセキュリティチェック実施ポイント（計画）とその運用記録（例：設計・実装工程におけるセキュリティ観点レビュー、リリース判断記録）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.2"]
["S(4)-4.2.1.1.1","最低限/標準","セキュリティ確認基準（S(4)-4.1.1）を測定するためのデータの収集手順に関する資料や情報がある。","ドキュメント評価：\n定義されたセキュリティ確認基準を測定するためのデータを収集する手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認基準を測定するためのデータ収集の手順に関するドキュメント\n・データ収集手順（例：ビルドツールログ（エラーログなどのチェック）やコード解析ツール等の解析結果等の収集ためのツールから出力されるログ等のデータ及び、その収集方法）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.2","S(4)-4.2.1","S(4)-4.2.1.1"]
["S(4)-4.2.1.1.2","標準","セキュアな開発・運用のプロセスに各種セキュリティツールを統合し、開発・運用アクションに関する測定データを収集する仕組みに関する資料や情報がある。","ドキュメント評価：\n定義されたセキュリティ確認基準を測定するためのデータを、効率的かつ継続的に収集する仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■データ収集の仕組みに関するドキュメント\n・データ収集プロセスを定めた仕組み（例：ビルドツールログ（エラーログなどのチェック）やコード解析ツール等の解析結果等の収集ためのツールから出力されるログ等の情報及び、その収集方法、セキュリティダッシュボード等を活用した自動化システム）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.2","S(4)-4.2.1","S(4)-4.2.1.1"]
["S(4)-4.2.2.1.1","最低限/標準","セキュリティ確認基準への準拠チェック用に収集されるデータを保管するリポジトリやツールへのアクセス制限を適用している。","ドキュメント評価：\n意思決定の根拠となるセキュリティ確認基準に関わるデータの信頼性を確保するため、収集データへのアクセスを限定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認基準を測定するための収集データの保護に関するドキュメント\n・データリポジトリやツールのアクセス制御（例：権限設定の一覧、アクセス制御に関する運用手続き）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.2","S(4)-4.2.2","S(4)-4.2.2.1"]
["S(4)-4.2.2.1.2","標準","セキュリティ確認基準への準拠チェック用に収集されるデータの変更・削除に関する監査ログを取得し、意図しない変更を検知・追跡している。","ドキュメント評価：\nセキュリティ確認基準への準拠チェック用に収集されるデータの信頼性を確保するため、収集データへの意図しない変更や削除を検知していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■収集データの保護に関するドキュメント\n・収集データの完全性確保の手続（例：監査ログの取得設定）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.2","S(4)-4.2.2","S(4)-4.2.2.1"]
["S(4)-4.3.1.1.1","標準","担当部門から独立した組織がセキュリティ確認基準への適合に関わる監査を実施することを示す資料や情報がある。","ドキュメント評価： \nセキュリティ確認基準の遵守を通じたガバナンスの確立の寄与のため、セキュリティ確認基準への適合に関わる監査体制を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認基準への適合に関わる監査実施に関するドキュメント\n・監査を担当する部門の役割（例：組織図、分掌規程）\n・監査体制\n・監査の手順（例：監査の基準、範囲などの監査計画、監査で用いられるチェックリストやツール類等の実施手順、監査報告手順）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.3","S(4)-4.3.1","S(4)-4.3.1.1"]
["S(4)-4.3.2.1.1","標準","セキュリティ確認基準への適合に関わる監査報告書にて指摘事項を記録し、指摘事項に対して、担当部門が是正対応を行っている記録がある。","ドキュメント評価： \nソフトウェアとその開発・運用に関するライフサイクル全体のセキュリティ水準を維持するため、セキュリティ確認基準への適合に関わる監査結果に基づいて、根本原因分析を踏まえた是正対応を行っていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■監査と是正処置の記録\n・監査報告書\n・是正処置が完了していることを示す記録（例：是正処置計画書、完了報告書）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.3","S(4)-4.3.2","S(4)-4.3.2.1"]
["S(4)-4.3.2.2.1","標準","セキュリティ確認基準への適合に関わる監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。","ドキュメント評価： \nソフトウェアとその開発・運用に関するライフサイクル全体のセキュリティ水準を維持するため、セキュリティ確認基準への適合に関わる監査結果に基づいて、開発・運用基準やプロセスを定期的又は継続的に改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。開発プロセスが不適切であるために、セキュリティ確認基準に基づく意思決定が適切に行えていない場合の改善等も想定する。","■プロセス改善に関する記録\n・監査結果を受けて改訂された開発・運用に関わる方針文書や手順書等の更新履歴\n・セキュリティチェック基準の見直し実績・履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.3","S(4)-4.3.2","S(4)-4.3.2.2"]
["S(4)-5.1.1.1.1","最低限/標準","高リスク要因に対処するため、開発・運用プロセスで使用するセキュリティツールのカテゴリを定めた資料や情報がある。","ドキュメント評価：\nセキュアなツール活用を進めるため、高リスク要因の軽減を目的としたツールとツールチェーンのカテゴリ（IDE、コンパイラ等）を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールカテゴリの定義に関するドキュメント\n・ソフトウェア開発・運用における高リスク要因のリスト\n・ツールの情報（ツールのカテゴリ（例：IDE、コンパイラ）、基本機能、セキュリティ機能等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.1","S(4)-5.1.1.1"]
["S(4)-5.1.1.1.2","標準","ソフトウェア開発・運用のリスク分析結果に基づき、プロジェクトのリスクレベルや特性に応じて導入すべきツールのカテゴリをライフサイクル全体にわたり定めた資料や情報がある。","ドキュメント評価：\nセキュアなツール活用を進めるため、ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクの軽減を目的としたツールとツールチェーンのカテゴリ（IDE、コンパイラ等）をライフサイクル全体にわたり定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールカテゴリの定義に関するドキュメント\n・ソフトウェア開発・運用におけるリスク分析・評価の結果\n・ツールの比較検討結果\n・ライフサイクル全体にわたり採用するツールのリスト（ツールのカテゴリ（例：IDE、コンパイラ）、基本機能、セキュリティ機能等）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.1","S(4)-5.1.1.1"]
["S(4)-5.1.2.1.1","最低限/標準","主要な開発・運用フェーズで連携させるツール群の構成を定義した資料や情報がある。","ドキュメント評価：\nコード管理、ビルド、テスト、デプロイといった主要なソフトウェア開発・運用プロセス及びワークフローにおいて活用するツール群の連携構成を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールチェーンの構成と連携に関するドキュメント\n・主要な開発・運用プロセスにおけるツールの構成","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.2","S(4)-5.1.2.1"]
["S(4)-5.1.2.1.2","標準","ツールチェーン全体のアーキテクチャと統合方法に関する資料や情報がある。","ドキュメント評価：\n特定したソフトウェア開発・運用に関わるリスクを軽減するため、ツール群が連携しワークフローに溶け込むよう、ツール間で受け渡される情報等のツールチェーン全体の構成を指定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールチェーンの構成と連携に関するドキュメント\n・ツールチェーンの全体構成\n・ツールチェーンのコンポーネントの統合方法（例： 連携データ、ツール統合時の連携ファイル）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.2","S(4)-5.1.2.1"]
["S(4)-5.1.2.2.1","標準","ツールチェーンを開発・運用のプロセスとワークフローに統合していること。","ドキュメント評価：\n特定したソフトウェア開発・運用に関わるリスクを軽減するため、ツールチェーンのコンポーネントを既存のソフトウェア開発・運用プロセス及びワークフローと統合していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発・運用ワークフローへの統合に関するドキュメント\n・ツールチェーンを統合した開発・運用ワークフロー定義（例：ビルドの失敗、スキャン結果等を活用した統合の手続）\n・ツールチェーンから開発者・運用者へのフィードバックの定義（例：ビルドの失敗、スキャン結果等を活用したフィードバック情報）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.2","S(4)-5.1.2.2"]
["S(4)-5.2.1.1.1","最低限/標準","導入するツールに既知の重大な脆弱性がないことを確認した記録がある。","ドキュメント評価：\nツールがソフトウェアの脆弱性要因とならないよう、ツールの重大な脆弱性情報を確認していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","■ツールのセキュリティ評価に関するドキュメント\n・ツール選定時の脆弱性情報の確認結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.1","S(4)-5.2.1.1"]
["S(4)-5.2.1.1.2","標準","組織のポリシーに従い、導入するツールについて、提供元の信頼性評価やツールのセキュリティ評価を実施した記録がある。","ドキュメント評価：\nツールがソフトウェアの脆弱性要因とならないよう、組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールのセキュリティ評価に関するドキュメント\n・組織のポリシー及び、セキュリティ慣行に基づくツール選定時のセキュリティ評価（例：脆弱性診断、出所情報確認）の結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.1","S(4)-5.2.1.1"]
["S(4)-5.2.1.2.1","標準","組織のセキュリティポリシーに基づく、ツールとツールチェーンのセキュリティ堅牢化及び、配備に関する資料や情報がある。","ドキュメント評価： \nツールがソフトウェアの脆弱性要因とならないよう、組織のポリシー及び、セキュリティ慣行に従って、セキュアにツールとツールチェーンを配備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールとツールチェーンのセキュアな配備に関するドキュメント\n・ツールとツールチェーンの環境構築手順（例：不要機能の無効化、セキュアな通信設定、アクセス制御の構成等のハーデニング）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.1","S(4)-5.2.1.2"]
["S(4)-5.2.2.1.1","最低限/標準","ツールチェーンの重要な設定項目について、定期的又は継続的なレビュー記録がある。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの重要な設定を定期的又は継続的に確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツール構成の確認に関する記録\n・ツールチェーンの重要な構成に関する定期的又は継続的な確認履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.1"]
["S(4)-5.2.2.1.2","標準","構成管理ツール等を用いて、ツールの設定変更を管理し、特定したセキュアな構成からの逸脱を検知・通知している。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの構成に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）を定期的又は継続的に監視することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツール構成の監視に関する記録\n・ツールチェーンの構成変更のレビュー記録\n・ツールチェーンの構成ファイルの変更履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.1"]
["S(4)-5.2.2.2.1","最低限/標準","ツールチェーンにおいて、本番環境への無許可アクセス等の重大なポリシー違反を検知するための記録が存在している。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる重大なセキュリティ問題（本番環境への無許可アクセス等）について検知することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツール利用の検知に関するドキュメント\n・ツールやツールログのチェック履歴（実行時に発生した重大なセキュリティ関連のエラーログのチェックなど）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.2"]
["S(4)-5.2.2.2.2","標準","ツールチェーンにおいて、収集したログを分析し、検知すべき異常な振る舞いやポリシー違反を検知するための監視ルールを実装している。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）について定期的又は継続的に監視することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツール自体のセキュリティ問題だけではなく、セキュアなソフトウェア開発・運用に関わる、ポリシー違反や異常な動作を含むセキュリティ上の潜在的な問題を発見するために、ツール利用時の証跡を定期的又は継続的に監視する。問題の例としては、特権アカウントの不正利用、ビルドプロセスへの不審なコード挿入の試み、保護されたブランチへの強制プッシュ、セキュリティチェックの意図的なスキップ等である。","■ツール利用の監視に関するドキュメント\n\n・ツールとツールチェーンに関わるセキュリティ監視ルールの定義（例：ログ管理システム（SIEM等）の設定情報）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.2"]
["S(4)-5.2.2.3.1","最低限/標準","ツールチェーンにおいて、重大なポリシー違反を検知した際に、担当者が対応する手順に関する資料や情報がある。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる重大なセキュリティ問題に対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■対応プロセスに関するドキュメント\n・検知された重大なポリシー違反への対応の手続（例：調査、是正措置、再発防止策の検討）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.3"]
["S(4)-5.2.2.3.2","標準","ツールチェーンにおいて、検知したイベントへの一連の対応プロセスと、過去の対応記録に関する資料や情報がある。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）に対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nまた、ツール自体のセキュリティ問題だけではなく、セキュアなソフトウェア開発・運用に関わる、ポリシー違反や異常な動作を含むセキュリティ上の潜在的な問題にも対処していることを評価する。問題の例としては、特権アカウントの不正利用、ビルドプロセスへの不審なコード挿入の試み、保護されたブランチへの強制プッシュ、セキュリティチェックの意図的なスキップ等である。","■対応プロセスに関するドキュメント\n・検知された問題への対応の手続（例：イベントの深刻度評価、調査、是正措置、再発防止策の検討）\n・是正措置の記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.3"]
["S(4)-5.2.3.1.1","最低限/標準","利用しているツールに既知の重大な脆弱性がないことを定期的又は継続的に確認した記録がある。","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、ツールの脆弱性を定期的又は継続的に確認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールの脆弱性管理に関するドキュメント\n\n・ツールの定期的又は継続的な確認記録（例：脆弱性情報）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.1"]
["S(4)-5.2.3.1.2","標準","組織のポリシーに従い、利用しているツールのセキュリティの評価を定期的又は継続的に実施する手順がある。","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を定期的又は継続的にレビューする手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールの脆弱性管理に関するドキュメント\n・ツールのセキュリティ評価手順","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.1"]
["S(4)-5.2.3.2.1","最低限/標準","ツールに重大な脆弱性が発見された場合、パッチ適用やバージョンアップを実施した記録がある。","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、ツールの重大な脆弱性に対応するため、ツールを更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、ツールに脆弱性が確認できない場合が考えられる）、重大な脆弱性に対するツールのバージョンアップの方針など、現状あるべきドキュメントを評価する。","■ツールのアップデートに関するドキュメント\n・重大な脆弱性に対処するためのツールの更新履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.2"]
["S(4)-5.2.3.2.2","標準","自組織の開発プロセスの見直し、もしくは新しいツール機能にあわせてツールを評価し、必要に応じてツールを更新、アップグレード、または交換する手順がある。","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、組織のポリシーに従い、ツールの出所、や新機能等を定期的又は継続的にレビューし、ツールを維持・更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールのアップデートに関するドキュメント\n・ツールの更新に関する手続き（例：アップデート、変更管理、適用後のテスト）\n・ツールの評価記録\n・ツールの更新履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.2"]
["S(4)-5.3.1.1.1","最低限/標準","ソースコードリポジトリにおいて、誰が、いつ、どのコードを変更したかに関する記録がある。","ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、ソースコードに関する監査証跡を生成することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■監査証跡の生成に関するドキュメント\n\n・ツールの実行ログ（例：実行者、日時、結果等により追跡可能なログ）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.3","S(4)-5.3.1","S(4)-5.3.1.1"]
["S(4)-5.3.1.1.2","標準","一連の開発・運用アクションが追跡可能な形で記録されるようにツールチェーンを構成していることを示す記録がある。","ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、コード生成、レビュー、ビルド、テスト、デプロイといった一連の開発・運用アクションに関する監査証跡を生成するように、ツール（ワークフロー追跡等）を構成することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■監査証跡の生成に関するドキュメント\n・ツールの設定（例：設定内容、項目）\n・ツールのアウトプット情報（例：生成ファイルとその情報、監査ログ設定と内容）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.3","S(4)-5.3.1","S(4)-5.3.1.1"]
["S(4)-5.3.1.1.3","標準","開発・運用アクションに関する監査証跡のアクセス制御に関わる資料や情報がある。","ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発アクションに関する監査証跡を保護することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■監査証跡の生成に関するドキュメント\n・ツールのアウトプットのアクセス制御（例：アクセスリスト、監査証跡の保護設定）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.3","S(4)-5.3.1","S(4)-5.3.1.1"]
["S(4)-6.1.1.1.1","最低限/標準","ソフトウェア開発の各環境の基本的な構成や管理状況に関する資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を管理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの環境の分離を定めたドキュメント\n・各環境の基本的な構成や管理状況（例：ネットワーク構成、ファイアウォール、アクセス制御方法、環境間の差分情報、ログ情報）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.1"]
["S(4)-6.1.1.1.2","標準","目的やリスクレベルに応じて各環境間の分離と保護の方式が定義され、分離と保護を実施していることを示す資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を、目的やリスクレベルに応じた各環境間の分離と保護の方式を通じて、分離・保護していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの環境の分離を定めたドキュメント\n・各環境間の分離と保護のコントロール（例：認証方式、アクセス管理表、監視ルール）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.1"]
["S(4)-6.1.1.1.3","標準","ソフトウェア開発の各フェーズで使用される環境ごとのデータの保護方針を示す資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）上のデータを分離・保護していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの環境の分離を定めたドキュメント\n・データの保護方針（例：本番データの開発環境での利用方針、マスキング方針）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.1"]
["S(4)-6.1.1.2.1","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツールの脆弱性を監視し対処する手続きに関する資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）を分離・保護するツールの脆弱性を監視し対処していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■分離された各開発環境の維持・管理に関するドキュメント\n・環境の保護に関連するツールの脆弱性の管理手続き\n・構成変更の手順","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2"]
["S(4)-6.1.1.2.2","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツール・対策の構成変更に関する記録がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を分離・保護するツール・対策の構成を適切に見直していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■分離された各開発環境の維持・管理に関するドキュメント\n・環境の見直し履歴（例：環境のアクセス管理表の見直し履歴、構成見直し履歴）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2"]
["S(4)-6.1.1.2.3","標準","ソフトウェア開発の各フェーズで使用される環境間の分離と保護状態のチェックに関する記録がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）の分離・保護状態を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■分離された各開発環境の維持・管理に関するドキュメント\n・分離と保護の監視記録（例：アラートログ、アクセス違反等のログ保存など）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2"]
["S(4)-6.1.1.2.4","標準","ソフトウェア開発の各フェーズで使用される環境について、監視を通じてサイバーインシデントを検出し、インシデントから回復する手順に関する資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）の分離・保護に関するインシデントを検出し復旧する手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■分離された各開発環境の維持・管理に関するドキュメント\n・監視を通じてサイバーインシデントを検出し、インシデントから回復する手順","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2"]
["S(4)-6.2.1.1.1","最低限/標準","ソフトウェアの設計者、開発者、テスター、ビルダー向けなどの開発環境及び開発用エンドポイントにおける一般的な脅威を識別し、リスク評価を実施した記録がある。","ドキュメント評価：\nセキュアなソフトウェアの根幹をなす開発環境における開発用エンドポイント（ソフトウェアの設計者、開発者、テスター、ビルダー向けなど）の保護・強化方法を選定するために、一般的な脅威（例：マルウェア感染、物理的盗難）を対象としたリスク分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発環境及び開発用エンドポイントのリスク分析に関するドキュメント\n・リスク分析・評価を実施可能とするための手続き\n・開発用エンドポイント（パソコンやモバイル端末など）を対象とした一般的な脅威を想定したリスク判定結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.1","S(4)-6.2.1.1"]
["S(4)-6.2.1.1.2","標準","開発環境及び開発用エンドポイントにおける開発者の行動や利用シナリオを想定した具体的な脅威シナリオに基づき、詳細なリスク分析を実施した記録がある。","ドキュメント評価：\nセキュアなソフトウェアの根幹をなす開発環境における開発用エンドポイント（ソフトウェアの設計者、開発者、テスター、ビルダー向けなど）の保護・強化方法を選定するために、開発者の行動や利用シナリオを想定した詳細なリスク分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発環境及び開発用エンドポイントのリスク分析に関するドキュメント\n・リスク分析・評価を実施可能とするための手続き（例：規程、実施手順）\n・開発用エンドポイント（パソコンやモバイル端末など）を対象とした詳細なリスク判定結果（例：悪意のある開発拡張ツールによるバックドア設置）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.1","S(4)-6.2.1.1"]
["S(4)-6.2.2.1.1","最低限/標準","開発環境及び開発用エンドポイントに導入すべき基本的なセキュリティ対策の方針や基準を定めた資料や情報がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を実施できるよう、リスク分析に基づき、開発環境及び開発用エンドポイントの基本的なセキュリティ保護策（例：アンチウイルスソフト導入、OS・ソフトウェアの最新化、ファイアウォール有効化）を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■保護・強化方法に関するドキュメント\n・リスク分析結果に基づく基本的な対策の選定記録、リスク対応計画","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.1"]
["S(4)-6.2.2.1.2","標準","リスク評価の結果に基づき、開発環境及び開発用エンドポイントからアクセスするリソース、また開発環境及び開発用エンドポイントに導入すべきセキュリティ対策の方針や基準を定めた資料や情報がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を実施できるよう、リスク分析に基づき、開発環境及び開発用エンドポイントと開発環境及び開発用エンドポイントからアクセスするリソースのセキュリティ保護策を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■保護・強化方法に関するドキュメント\n・リスク分析結果に基づく対策の選定記録、リスク対応計画\n・開発環境及び開発用エンドポイント向けの組織のセキュリティ管理基準（例：端末設定、ネットワーク参加権限、アプリケーションリスト、データの保護策、ウィルス対策、パーソナルファイアウォール、仮想環境、多要素認証、ディスク暗号化、機密データのDLP、サービス管理、アプリケーション実行制御）\n・開発用エンドポイントからアクセスするリソース向けの組織のセキュリティ管理基準（例：開発リソース（サーバなど）へのアクセスコントロール、システムログの監視）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.1"]
["S(4)-6.2.2.2.1","最低限/標準","開発環境及びエンドポイントの基本的なセキュリティ対策を実施していることを示す資料や情報がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントの基本的なセキュリティ保護策を実施していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","■セキュリティ監視に関するドキュメント\n・セキュリティアラートの検知記録（認証失敗、マルウェア検知等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.2"]
["S(4)-6.2.2.2.2","標準","開発環境およびエンドポイントの堅牢化と監視を定期的又は継続的に運用している記録がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を確実に実施できるよう、セキュリティ対策の方針に基づき開発環境及び開発用エンドポイントを堅牢化すると共に、不審な挙動（例：不審なプロセス実行、外部への意図しない通信、特権アクセスやアクセス試行）の監視・分析を定期的又は継続的に実施していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","■セキュリティ監視に関するドキュメント\n・EDR/SIEM等の監視システムの構成資料、監視ルール\n・セキュリティアラートの検知記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.2"]
["S(4)-6.2.2.3.1","最低限/標準","開発環境及び開発用エンドポイントでのインシデント発生時の報告・対応手順に関する資料や情報がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントでのサイバーインシデント発生時の対応手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■インシデント対応に関するドキュメント\n・インシデント対応手順","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.3"]
["S(4)-6.2.2.3.2","標準","インシデント発生時に、手順に則って対応（封じ込め、調査、復旧）した記録がある、または対応訓練の実施に関する記録がある。","ドキュメント評価：\n手順に従い、開発環境及び開発用エンドポイントでのサイバーインシデントを検出、対応、回復していること、またはその訓練を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■インシデント対応に関するドキュメント\n・インシデントの対応履歴\n・開発環境及び開発用エンドポイントの見直し履歴\n・インシデント対応訓練の実施記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.3"]
["S(5)-1.1.1.1.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針に関する資料や情報がある。","ドキュメント評価： \nセキュリティに関わる情報を取得・提供・共有するため、組織として外部との情報連携をどのように位置付け、実施するかを定めた基本方針を整備することについて責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報連携に関する基本方針のドキュメント\n・情報連携の基本方針（目的、責任者、基本的な連携ルール）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.1","S(5)-1.1.1","S(5)-1.1.1.1"]
["S(5)-1.1.1.2.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針の内容が、関連する外部要件に準拠していることを確認した記録がある。","ドキュメント評価：\nセキュリティ確保の参照情報として、組織として外部との情報連携の基本方針が、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準（例：情報セキュリティ早期警戒パートナーシップガイドラインの脆弱性発見時の届出）に遵守していることを確認することについて責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件への適合に関するドキュメント\n・遵守すべき法規制・業界標準等に関するリスト\n・外部要件と社内ポリシー間のギャップ分析結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.1","S(5)-1.1.1","S(5)-1.1.1.2"]
["S(5)-1.1.2.1.1","標準","外部からの脆弱性報告等の情報受付と外部への情報発信に関する役割を定めた資料や情報がある。","ドキュメント評価： \n情報連携のための組織のポリシーが具体化され、情報連携のための役割を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■体制に関するドキュメント\n・情報連携に関する役割定義（例：CSIRT と連絡責任者（POC））","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.1","S(5)-1.1.2","S(5)-1.1.2.1"]
["S(5)-1.1.2.2.1","標準","外部から情報を受け取った際、または自社から情報を発信する際の基本的な対応手順に関する資料や情報がある。","ドキュメント評価：\n情報連携のための組織のポリシーが具体化され、情報共有の資格や情報共有フォーマット、マニュアル等を含む情報連携のための、プロセスを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■プロセスに関するドキュメント\n・情報連携に関わる手順（例：連絡窓口、脆弱性/インシデント連絡フロー、情報共有の範囲（機密区分）、合意形成（例外受容の証跡）のフロー））\n・連携ツール（例：Webフォーム、専用メールアドレス）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.1","S(5)-1.1.2","S(5)-1.1.2.2"]
["S(5)-1.2.1.1.1","最低限/標準","関係ベンダーに提供しているセキュリティ情報がある。","ドキュメント評価： \n関係者がリスクに対処することで顧客のセキュリティを向上させるため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダーに提供していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報提供チャネルのドキュメント\n・過去に提供したセキュリティ情報","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.1"]
["S(5)-1.2.1.1.2","標準","情報連携を実施するためのポリシーに基づき、関係ベンダー毎に、適切な情報提供チャネルを用意し、情報提供チャネルごとの情報を入手する方法に関する資料や情報があること。","ドキュメント評価： \n関係者がリスクに対処することで顧客のセキュリティを向上させるため、業界固有の必須かつ重要なセキュリティ関連情報を適切なチャネルに基づき関係ベンダーに提供していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該情報提供の実施前の可能性も考えられる）、情報提供チャネルに関する準備すべきドキュメントを評価する。S(5)-1.1で定めたポリシーに準じた活動を推進していることを評価する。","■情報提供チャネルのドキュメント\n・情報提供チャネル（例：セキュリティアドバイザリのWebページ、通知メールの送信履歴やテンプレート、サポートポータルのコンテンツ）\n・情報提供チャネルごとの関係ベンダーが情報を入手する方法の案内（例：情報共有の資格、情報を有効活用するためのフォーマットやマニュアル）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.1"]
["S(5)-1.2.1.2.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報に関して公開している資料や情報がある。","ドキュメント評価：\n関係者がリスクに対処することで顧客のセキュリティを向上させるため、自社製品の脆弱性関連情報を公開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該情報提供の実施前の可能性も考えられる）、情報提供チャネルに関する準備すべきドキュメントを評価する。","■情報提供の実績のドキュメント\n・過去に公開したセキュリティアドバイザリの一覧（例：自社製品の脆弱性）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.2"]
["S(5)-1.2.1.2.2","標準","脆弱性情報に加え、製品のセキュアな利用方法や業界固有の脅威情報等に関して提供先の特性に応じて公開している資料や情報がある。","ドキュメント評価：\n関係者がリスクに対処することで顧客のセキュリティを向上させるため、製品のセキュアな利用法や業界固有の脅威情報等のセキュリティ関連情報を公開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。S(5)-1.1で定めたポリシーに準じた活動を推進していることを評価する。","■情報提供の実績のドキュメント\n・過去に公開したセキュリティアドバイザリの一覧（例：脅威情報や製品のセキュアな利用方法）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.2"]
["S(5)-1.2.2.1.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報を連携対象として定義した資料や情報がある。","ドキュメント評価：\nサプライチェーン先に一貫した情報提供が行えるよう、連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報として緊急度の高い脆弱性情報を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報定義に関するドキュメント\n・連携情報の定義（緊急度の高い脆弱性情報）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.2","S(5)-1.2.2.1"]
["S(5)-1.2.2.1.2","標準","脆弱性情報に加え、脅威情報、インシデント情報、製品のセキュアな設定・運用に関するベストプラクティスなど提供対象とすべき重要情報を定義した資料や情報がある。","ドキュメント評価：\nサプライチェーン先に一貫した情報提供が行えるよう、連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報（脆弱性情報、脅威情報、インシデント情報、ベストプラクティス等）を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報定義に関するドキュメント\n・連携情報の定義（例：脅威情報（攻撃の観測状況）、インシデント情報（影響範囲等）、製品のセキュアな設定・運用、被害事例）、公開基準","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.2","S(5)-1.2.2.1"]
["S(5)-1.3.1.1.1","最低限/標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）に参加していること。","ドキュメント評価：\n当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス）に参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報連携制度・仕組みへの参加に関するドキュメント\n・当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みに関する情報（活用を示す手順、届出者登録完了通知（例：JPCERT/CC、IPA（JVN）、NCO等から公開される脆弱性勧告やアラート）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.3","S(5)-1.3.1","S(5)-1.3.1.1"]
["S(5)-1.3.1.2.1","標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）から取り込んだ脆弱性情報等をS(5)-1.2の活動に活用した資料や情報がある。","ドキュメント評価：\n当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス）を活用し、脆弱性情報共有の仕組みを構築していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■プロセスに関するドキュメント\n・情報連携プロセス（例：JPCERT/CC、IPA（JVN）への届け出手続き、当該組織から公開される情報の受領とその活用手続き等）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.3","S(5)-1.3.1","S(5)-1.3.1.2"]
["S(5)-2.1.1.1.1","最低限/標準","少なくとも一つのセキュリティに関わる業界団体やコミュニティに参加した記録がある。","ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析するISAC等の業界団体やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n会社、部門、もしくは関係者が参加していることを確認する。","■セキュリティコミュニティへの参加の記録\n・ISAC、業界団体、セキュリティコミュニティ等の参加の証跡（例：会員リストや会員証）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.1","S(5)-2.1.1","S(5)-2.1.1.1"]
["S(5)-2.1.1.1.2","標準","事業領域や技術領域に応じて、セキュリティに関わる複数の適切な業界団体やコミュニティに自組織として参加している記録がある。","ドキュメント評価：\n組織として外部の知見を取り入れる体制を持っているかを確認するため、事業領域や技術領域に応じたソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析するISAC等の業界団体やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。","■セキュリティコミュニティへの参加の記録\n・ISAC、業界団体、セキュリティコミュニティ等の参加の証跡（例：会員リストや会員証）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.1","S(5)-2.1.1","S(5)-2.1.1.1"]
["S(5)-2.1.2.1.1","最低限/標準","業界団体やコミュニティの活動で得たセキュリティに関わる情報を、社内関係者に共有した記録がある。","ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し、ソフトウェア製品及びサービスのセキュリティに関する知識を社内に共有していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n関係者に共有されていることを確認できれば、会社、部門等を代表して参加していなくともよい。","■活用実績を示すドキュメント\n・会合やトレーニングの参加報告","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.2","S(5)-2.1.2","S(5)-2.1.2.1"]
["S(5)-2.1.2.1.2","標準","業界団体やコミュニティから得たセキュリティに関わる情報を基に、自社のセキュリティ対策への影響を評価、もしくは対策を更新した記録がある。","ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し得られた知見に基づき、自社のソフトウェア製品及びサービスのセキュリティに関する影響を評価、もしくは対策を更新等自組織の取組に活用していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。","■活用実績を示すドキュメント\n・セキュリティ対策に関する外部情報の活用に関する手順書、セキュリティ対策の評価結果（例：インシデント対応手順の更新、監視ルールの更新）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.2","S(5)-2.2.1","S(5)-2.1.2.1"]
["S(5)-2.2.1.1.1","最低限/標準","自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて業界団体やコミュニティへ公表した記録がある。","ドキュメント評価：\n情報の消費者の立場に終始するのではなく、自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて公表していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。\n協力体制への参加により、セキュリティ確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティ改善アクションの効果・効率が高まり、結果としてソフトウェアの品質と組織のレジリエンスが向上することを想定する。","■情報提供の実績を示すドキュメント\n・自社情報の公表の判断結果（例：自社製品の脆弱性）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.2","S(5)-2.2.1","S(5)-2.2.1.1"]
["S(5)-2.2.1.1.2","標準","業界団体やコミュニティ活動の推進に関する積極的な関与に関する資料や情報がある。","ドキュメント評価：\n情報の消費者の立場に終始するのではなく、コミュニティへの貢献者としての役割を果たすため、ISAC等の業界団体やコミュニティへ参加し、運営や活動に貢献していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。\n協力体制への参加により、セキュリティ確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティ改善アクションの効果・効率が高まり、結果としてソフトウェアの品質と組織のレジリエンスが向上することを想定する。","■コミュニティの運営や活動への貢献実績を示すドキュメント\n・運営や活動の記録（例：ワーキンググループへの参加、レポートの共同執筆、イベントでの登壇、運営委員としての活動、取りまとめ要員の派遣、賛同資金の提供等）\n・自社情報の公表の判断結果（例：自社製品の脆弱性、自社で観測した（ただし個社や個人が特定されないよう匿名化・一般化された）脅威情報、攻撃の予兆、インシデントの教訓など）\n・必要に応じてJPCERT/CC等への脆弱性届出・公表の記録\n・コミュニティのメーリングリストや情報共有インフラへの投稿記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.2","S(5)-2.2.1","S(5)-2.2.1.2"]
["S(6)-1.1.1.1.1","最低限/標準","オーナーシップを持つシステム及びソフトウェアのリスク管理の責任について（顧客の）経営層がコミットしていること。","ドキュメント評価： \nインタビュー評価： \n顧客経営層のリーダーシップにより、自組織がオーナーシップを持つシステム全体及びソフトウェアのリスク管理を顧客自ら主体的に行う取組方針を整備することについて、経営層が責務として認識し実施していることについて、「確認すべきエビデンス」欄に示すドキュメント、及び経営層へのインタビューをエビデンスとして評価する。」","■システム及びソフトウェアのリスク管理に対する経営層のコミットメントに関するドキュメント\n・システム及びソフトウェアのリスク管理に対する組織としての取組方針（例：社内通達での経営メッセージ、組織としてのセキュリティポリシー）、及びロードマップ（調達（購入）基準へのセキュアバイデザイン・セキュアバイデフォルト慣行の採用方針）\n\n■経営層へのインタビュー\n・ソフトウェアのセキュリティに関するリスク管理の欠如（例：脆弱性の残存などによるビジネス損失）、及び主体的なセキュアバイデザイン・セキュアバイデフォルト慣行によるリスク軽減（例：脆弱性の早期発見などによるビジネス損失の防止）に関する経営層の認識","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.1","S(6)-1.1.1.1"]
["S(6)-1.1.1.2.1","最低限/標準","システム及びソフトウェアのリスク管理を（顧客が）独立かつ主体的に実施している資料や情報がある。","ドキュメント評価： 自組織がオーナーシップを持つシステム全体及びソフトウェアのリスク管理を顧客自ら主体的に行うことについて、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■システム・ソフトウェアのリスク管理に対する主体的な取組を示すドキュメント\n・経営層（経営トップ、上級マネジメント、承認権限者など）へのリスク識別及びリスク軽減に関する報告（リスク分析結果やリスク管理の取組方針の説明等）\n・経営層での報告や議論の記録（会議録等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.1","S(6)-1.1.1.2"]
["S(6)-1.1.2.1.1","最低限/標準","リスク管理上重要な事業者と、明確な責任分担と契約に基づきリスク管理を実施している資料や情報がある。","ドキュメント評価： \n顧客経営層のリーダーシップにより、取引先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、契約により取り決めた手続に従ってリスクを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","■事業者との責任分担と契約に関するドキュメント\n・ソフトウェア・システムのセキュアな調達・運用に関するドキュメント（例：基本方針、役割分担、セキュリティ確保・維持のための方針及び手続、予算化手続）\n■契約に基づき事業者と役割分担してシステム及びソフトウェアのリスク管理を実施した記録\n・リスク管理イベント記録（インシデント対応、脆弱性対応等）\n・ソフトウェアの脆弱性の疑いに関する事業者への情報提供の記録\n・リスク対応の一環で権限に基づいてソフトウェアを更新した記録\n・EOL/EOSに基づく計画及び対応（更新又はサービス移行等）の記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1"]
["S(6)-1.1.2.1.2","標準","ソフトウェア・システムを調達する場合、顧客と供給者のセキュリティに関する責任を明確にし、透明性の高い事業者を優先的に採用したことを示す資料や情報がある。","ドキュメント評価： \n顧客経営層のリーダーシップにより、ソフトウェア・システム調達先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、透明性の高い事業者を優先的に採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","■事業者との責任分担と契約に関するドキュメント\n・ソフトウェア製品利用において役割分担を明確にするための契約等のドキュメント（例：保守契約、使用許諾契約、リリースノート、サポート窓口、エスカレーションフロー、製品ライフサイクルロードマップ、サポートマトリクス（動作環境等）、EOL/EOS通知期間、構成情報（SBOM等を含む）、更新に関する権限及び手続、脆弱性開示ポリシー、脆弱性対応手続（目標期間（タイムライン）等）、その他セキュアな利用上の注意点）\n■事業者の採用根拠に関する記録\n・ソフトウェア・システム調達の採用根拠等の記録\n","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1"]
["S(6)-1.1.2.1.3","標準","システム運用・保守サービスを利用する場合、運用・保守委託先事業者と、インシデント対応・脆弱性対応・役割分担を含む契約を締結したことを示す資料や情報がある。","ドキュメント評価： \n顧客経営層のリーダーシップにより、システム運用・保守サービス先であるサイバーインフラ事業者と、インシデント対応、脆弱性対応を含む運用・保守の責務と役割を明確化し、契約により取り決めた手続に従ってリスクを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","■事業者との責任分担と契約に関するドキュメント\n・システムの運用・保守において役割分担を明確にするための契約等のドキュメント（例：運用・保守契約（責任境界定義、カスタムコードに対する契約不適合責任期間・有償保守等の特約を含む）、基本サービス契約、サービスレベル契約、構成管理台帳（SBOM等を含む）、インシデント対応の役割分担と対応方針、セキュリティ確保（脆弱性対応含む）の役割分担と対応方針）\n■事業者の採用根拠に関する記録\n・システム運用・保守サービスの採用根拠の記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1"]
["S(6)-1.1.2.1.4","標準","クラウドサービスを利用する場合、責任共有モデルに基づいて顧客と供給者のセキュリティに関する責任を明確にし、透明性の高いクラウド事業者を優先的に採用したことを示す資料や情報がある。","ドキュメント評価： \n顧客経営層のリーダーシップにより、クラウドサービスの取引先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、透明性の高い事業者を優先的に採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","■事業者との責任分担と契約に関するドキュメント\n・クラウドサービス利用において役割分担を明確にするための契約等のドキュメント（例：基本契約書・利用規約（責任共有モデルを前提とした責任境界定義、データ所有権・利用権、免責事項・賠償上限、準拠法・管轄裁判所、監査条項等）、各種ポリシー（パッチ適用責任等の運用、サポート、プライバシー、ライフサイクル等）、サービスレベル契約、サービス仕様書・説明書、セキュリティレポート（ホワイトペーパー、SOC2レポート、ISMAP登録証等）、インシデント対応の役割分担と対応方針、セキュリティ確保（脆弱性対応含む）の役割分担と対応方針）\n■事業者の採用根拠に関する記録\n・クラウドサービスの採用根拠等の記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1"]
["S(6)-1.2.1.1.1","最低限/標準","導入ソフトウェアのセキュリティ確保のための要件/基準と検証方法を定め、契約（締結済み又は締結予定の）事業者にエビデンスを要求したことを示す資料や情報がある。","ドキュメント評価： \nソフトウェア・システムのセキュアな調達・運用のため、ソフトウェアのセキュリティ確保・維持のための要件/基準・検証方法に関する手続等を整備するとともに、契約に基づき事業者にエビデンスを要求することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■要件/基準・検証方法に関するドキュメント\n・ソフトウェア・システムのセキュアな調達・運用に関するドキュメント（ソフトウェアのセキュリティ確保・維持のための要件/基準・検証方法に関する手続等）\n・ソフトウェアのセキュリティ確保のための要件/基準・検証方法に関する記述\n・ソフトウェアのセキュリティ実装に係る証明情報（SBOM、SSDFの実装の適合性を証明する自己適合証明書など）","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1"]
["S(6)-1.2.1.1.2","最低限/標準","導入ソフトウェアの更新ポリシー及びサポート期限に基づく運用計画及び体制に関する資料や情報がある。","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、ソフトウェア・システムをセキュアに維持するため、導入ソフトウェアの更新ポリシーおよびサポート期限に関する運用計画と運用体制を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","■運用計画及び体制に関するドキュメント\n・ソフトウェアの運用計画及び体制","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1"]
["S(6)-1.2.1.1.3","最低限/標準","導入ソフトウェアの既知の脆弱性への対処や緩和策を主体的に実施するための方針及び担当割当に関する資料や情報がある。","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施するための計画および体制を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対処のためのリソースに関するドキュメント\n・脆弱性対処を継続的かつ主体的に実施するための計画及び体制","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1"]
["S(6)-1.2.1.1.4","標準","主体的取組を促進するための自組織の管理体制、関連事業者とのコミュニケーションパスを整備している資料や情報がある。","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施するために必要な自組織の体制を整備するとともに、必要な場合は事業者の協力を得るための契約やコミュニケーションパスを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","■自組織の管理体制およびコミュニケーションパスに関するドキュメント\n・継続的な協力体制のベースとなる事業者との契約\n・主体的取組を促進するための自組織の体制\n・関連事業者とのコミュニケーションパス","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1"]
["S(6)-1.2.1.2.1","最低限/標準","導入ソフトウェアの脆弱性に対して主体的に対処した記録がある。","ドキュメント評価： \n導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","■脆弱性対処や緩和策を主体的に実施した記録\n・既存の脆弱性や緩和策に関する実施記録（顧客自身が独自に実施したもの）","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.2"]
["S(6)-1.2.1.2.2","標準","導入ソフトウェアの脆弱性に対して契約（締結済み又は締結予定の）事業者と協力して対処した記録がある。","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施、及び必要な場合は契約に基づき事業者の協力を得て既知脆弱性への対処や緩和策を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","■脆弱性対処や緩和策を主体的に実施した記録\n・既存の脆弱性や緩和策に関する実施記録（契約に基づき事業者の協力を得て実施したもの）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.2"]
["S(6)-1.3.1.1.1","標準","導入ソフトウェアのセキュリティに関する情報を得るためのチャネル参加に関する資料や情報がある。","ドキュメント評価： \n導入したソフトウェアのセキュリティを維持・改善するため、セキュリティに関する情報を取扱うチャネルに参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ情報収集の実績を示すドキュメント\n・参加するチャネル（例：Webサイト）等のリスト","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.1"]
["S(6)-1.3.1.1.2","標準","ソフトウェアセキュリティに関するコミュニティや協力体制への参加に関する資料や情報がある。","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コミュニティからの情報収集の実績を示すドキュメント\n・参加するコミュニティ・協力体制と登録者のリスト\n・会合やトレーニングの参加報告","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.1"]
["S(6)-1.3.1.1.3","標準","コミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善した記録がある。","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■自組織の改善への活用実績を示すドキュメント\n・セキュリティ対策に関する外部情報の活用に関する手順書、セキュリティ対策の評価結果（例：インシデント対応手順の更新、監視ルールの更新）\n・導入ソフトウェアのセキュリティ確保のためのプロセス改善等に活用した記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.1"]
["S(6)-1.3.1.2.1","標準","コミュニティへのリソース提供、及び支援活動への参加に関する資料や情報がある。","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。コミュニティへの貢献者としての役割を果たすため、協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加し、情報共有や活動支援を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コミュニティへの貢献を示すドキュメント\n・コミュニティを支援する活動の実施記録\n・コミュニティを介して共有展開する目的で提供した情報","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.2"]
["S(6)-1.3.1.2.2","標準","コミュニティに対して提供したセキュリティ改善への貢献が見込まれる資料や情報がある。","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。コミュニティへの貢献者としての役割を果たすため、協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コミュニティへの貢献を示すドキュメント\n・コミュニティを介して提供したセキュリティ改善への貢献が見込まれる情報（例：脅威情報、インシデント情報、セキュアな設定・運用に関するベストプラクティスに関する情報）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.2"]
["S(6)-2.1.1.1.1","最低限/標準","ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義した資料がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ要件の定義に関するドキュメント\n・セキュリティ機能に関するセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.1"]
["S(6)-2.1.1.1.2","標準","セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義した資料がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ要件の定義に関するドキュメント\n・リスク緩和のためのセキュリティ要件（例：リスク緩和のための機能、環境、運用、サプライチェーン等に係るセキュリティ要件）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.1"]
["S(6)-2.1.1.1.3","標準","当局や信頼できる外部組織が整備したプロファイルに基づいて、ソフトウェアのセキュリティ要件を定義した資料がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、当局や信頼できる外部組織が整備したプロファイルに基づき、ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ要件の定義に関するドキュメント\n・外部プロファイル（例：リスクプロファイル、セキュリティプロファイル、プロテクションプロファイル、その他自組織の業務等が満たすべき標準や法令などを踏まえたプロファイル及び要件セット）に基づくセキュリティ要件","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.1"]
["S(6)-2.1.1.2.1","最低限/標準","RFPとして、定義したセキュリティ要件を提示した資料や情報がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、RFPとして導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、定義したセキュリティ要件を事前に提示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの導入構想段階、又はシステム計画の構想段階の場合（この場合は、RFPの策定前と考えられる）、構想段階で合わせて検討すべきセキュリティに関する方針整理など、事前に準備すべきドキュメントを評価する。","■調達・導入前に事業者にセキュリティ要件を提示したドキュメント\n・RFPに関する資料（例：調達仕様書・要件定義書等（定義したセキュリティ要件を含む））","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.2"]
["S(6)-2.1.1.2.2","標準","RFIとして、定義したセキュリティ要件を提示した資料や情報がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、RFIとして導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、定義したセキュリティ要件を事前に提示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの導入構想段階、又はシステム計画の構想段階の場合（この場合は、RFIの策定前と考えられる）、構想段階で合わせて検討すべきセキュリティに関する方針整理など、事前に準備すべきドキュメントを評価する。","■調達・導入前に事業者にセキュリティ要件を提示したドキュメント\n・RFIに関する資料（定義したセキュリティ要件を含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.2"]
["S(6)-2.2.1.1.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルト慣行に力点を置いた調達（購入）基準を整備した資料や情報がある。","ドキュメント評価： \nソフトウェア製品の導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、要求するセキュアバイデザイン・セキュアバイデフォルト慣行等に関する調達（購入）基準を事前に整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ慣行を求めるソフトウェア調達（購入）基準に関するドキュメント\n・ソフトウェアの開発・供給・運用の役割を担当する事業者に求めるセキュアバイデザイン慣行の記述（設計段階からセキュリティを考慮、セキュアな利用・運用が可能、コードベース対象の脆弱性対応や想定内のインシデント対応等に追加コストが発生しない、等）\n・ソフトウェアの開発・供給・運用の役割を担当する事業者に求めるセキュアバイデフォルト慣行の記述（デフォルト状態でセキュリティ機能やセキュリティ設定を提供、セキュアな利用・運用をデフォルトで強制、等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.2","S(6)-2.2.1","S(6)-2.2.1.1"]
["S(6)-2.2.1.2.1","最低限/標準","ソフトウェア調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示した資料や情報がある。","ドキュメント評価：\nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、調達・導入先もしくは委託先候補となるサイバーインフラ事業者に対して、要求するセキュアバイデザイン・セキュアバイデフォルト慣行等を調達・導入前に開示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■調達・導入前に事業者に求めるセキュリティ慣行を開示したドキュメント\n・RFPに関する資料（例：調達仕様書・要件定義書等（セキュリティ慣行の要求を含む））\n・その他の方法でセキュリティ慣行の要求を開示したドキュメント","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.2","S(6)-2.2.1","S(6)-2.2.1.2"]
["S(6)-2.3.1.1.1","最低限/標準","ソフトウェアの調達・導入前に、事業者に必要な資料や情報を要求し、業務特性を踏まえたリスクに基づくセキュリティ評価を実施することを定めたポリシーに関する資料や情報がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、業務特性を踏まえたリスクに基づいてセキュリティを評価する調達・導入ポリシーを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの調達・導入に関するドキュメント\n・ソフトウェア調達・導入ポリシー（例：業務特性を踏まえた事前のセキュリティ評価、及びリスク評価の義務付け）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.3","S(6)-2.3.1","S(6)-2.3.1.1"]
["S(6)-2.3.1.2.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルトの慣行に力点を置いた調達（購入）基準に基づき、ソフトウェアの調達・導入を優先するポリシーに関する資料や情報がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、セキュアバイデザイン、セキュアバイデフォルトの慣行に則った開発・サポートが保証された製品であること、又は同慣行に従うことを保証するサイバーインフラ事業者であることを優先する調達・導入ポリシーを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの調達・導入に関するドキュメント\n・ソフトウェア調達・導入ポリシー（セキュリティ慣行を保証する事業者を優先）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.3","S(6)-2.3.1","S(6)-2.3.1.2"]
["S(6)-2.3.1.3.1","最低限/標準","ポリシーに従い、ソフトウェア調達・導入の意思決定に必要なリスク判断を正式に文書化し、経営者が承認した資料や情報がある。","ドキュメント評価：\nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、業務特性を踏まえたリスクに基づいてセキュリティを評価する調達・導入ポリシーに基づき、適正なリスク判断を行い、そのリスク判断を経営層が承認したうえで調達・導入することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの調達・導入に関する記録\n・ソフトウェア調達・導入に係る稟議結果（調達・導入の意思決定の根拠として、ポリシーに準拠すること、リスク評価に基づく判断（セキュリティ慣行等の要求を満たさない場合の採用に関するリスク判断を含む）、及び調達・導入の承認を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.3","S(6)-2.3.1","S(6)-2.3.1.3"]
["S(6)-2.4.1.1.1","最低限/標準","自組織のリスク分析に基づきソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定した資料や情報がある。","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■サイバーセキュリティに関する残存リスク対策に関するドキュメント\n・リスク分析結果に基づくリスク緩和策\n・セキュリティリスクに対する例外措置\n・セキュリティリスクに対する例外措置の根拠（リスク軽減、移転、保持の効果判定など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.1"]
["S(6)-2.4.1.2.1","最低限/標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算要求に関する記録がある。","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を要求することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■経営層への予算申請に関するドキュメント\n・経営層向けのリスク軽減策に関する予算申請（例：人件費、教育費、ツール費用等のコストと投資対効果）の記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.2"]
["S(6)-2.4.1.2.2","標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算の申請手続に関する資料や情報がある。","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保する手続きを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■経営層への予算申請に関するドキュメント\n・リスク対応に必要な予算を申請する場合の手続き（各ライフサイクルフェーズにおける必要な項目の予算申請の手続きなど）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.2"]
["S(6)-2.4.1.3.1","最低限/標準","セキュリティ活動のための予算が承認されていることを示す記録がある。","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■予算の実行状況に関するドキュメント\n・セキュリティ関連の予算の承認記録（計画書、稟議書、予算執行実績など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.3"]
["S(6)-2.4.1.3.2","標準","中長期的なセキュリティ対策方針に基づいた予算が経営方針として示された資料や情報がある。","ドキュメント評価： \n中長期的なセキュリティ対策方針に基づいたソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■予算の実行状況に関するドキュメント\n・中長期的なセキュリティ対策方針に基づいた予算化に関する経営方針","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.3"]

{"sheet":"qryJoined_cache","index":4,"n_rows":303,"n_cols":19,"rows_kept":303,"cut":false,"hidden":true,"merged":[]}
["評価ID","評価レベル","評価内容","評価方法概説","確認すべきエビデンス","合否判定概説","要求ID","確認項目ID","評価項目ID","評価項目","参照すべき規程・ガイドとの関係","確認項目","ソフトウェア種別","役割.開発者","役割.供給者","役割.運用者","役割.顧客","個別要求タイトル","個別要求"]
["S(1)-1.1.1.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスク評価に関する資料や情報がある。","ドキュメント評価：\n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアにおけるセキュリティリスクを識別するために、リスク分析・評価の手続き整備し、その手続きに基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、実施済みの評価方法に関する検討結果など、事前に準備すべきドキュメントを評価する。","■リスク評価の手続き、及び結果のドキュメント\n・リスク分析・評価を実施可能とするための手続き（規程、実施手順など）\n・ソフトウェア、及び扱うデータの識別・分類とそのリスク判定結果\n・リスク有りと判定したソフトウェアコンポーネントやデータに対する対応策の検討結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.1","評価項目１：リスクの分析・評価の結果が存在すること。","SP800-218：PW.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","―","○",null,null,null,"リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"]
["S(1)-1.1.1.1.2","標準","ソフトウェアの高リスク領域に関する詳細なリスク評価を実施した資料や情報がある。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのうち、高リスク領域を対象としたセキュリティリスクを識別するために、高リスク領域の特性を踏まえた詳細なリスク分析・評価を行う手続きを整備し、その手続きに基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n高リスク領域も含む共通の詳細なリスク分析・評価の手続き・結果となっている場合、高リスク領域を識別する必要はない。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該高リスク領域の特性を踏まえたリスク分析・評価に適用される手続きや、実施済みの評価方法に関する検討結果など、事前に準備すべきドキュメントを評価する。","■リスク評価の手続き、及び結果のドキュメント\n・高リスク領域の識別（例：機密データ保護、クレデンシャル管理を含む識別・認証、アクセス制御の保護など）・分類とリスク判定結果\n・リスク有りと判定した高リスク領域のソフトウェアコンポーネントやデータに対する対応策の検討結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.1","評価項目１：リスクの分析・評価の結果が存在すること。","SP800-218：PW.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","―","○",null,null,null,"リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"]
["S(1)-1.1.1.2.1","最低限/標準","リスクモデル（脅威モデル、攻撃モデル）に基づく分析手法を適用している。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェアにおけるセキュリティリスクを識別するために、ソフトウェアの特性に合致したリスクモデルを採用し、リスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価に適用するリスクモデルの採用に関する検討状況など、評価の段階で確認できるドキュメントを評価する。","■リスク分析・評価方法に関する検討結果のドキュメント\n・採用したリスクモデル（脅威モデル、攻撃モデルなど）に基づくリスク分析・評価の実施計画、及び実施結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.2","評価項目２：リスクの分析・評価の手法が特定していること。","SP800-218：PW.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","―","○",null,null,null,"リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"]
["S(1)-1.1.1.2.2","標準","リスク分析の専門家と共同で作成したリスクモデルを適用している。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェアにおけるセキュリティリスクを識別するために、必要に応じてリスク分析の専門家と共同でリスク分析・評価を計画・準備し、その計画に基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの特性や実装方式を鑑み、リスク分析の専門家の協力を得る必要がないと判断する場合は、理由を記載しN/Aとする。","■リスク分析・評価方法に関する検討結果のドキュメント\n・必要に応じて、専門家によるリスクモデルの検討結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.2","評価項目２：リスクの分析・評価の手法が特定していること。","SP800-218：PW.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","―","○",null,null,null,"リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"]
["S(1)-1.1.2.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのセキュリティリスク分析・評価に基づいた、リスクの緩和策や例外措置に関する資料や情報がある。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスクベースの分析・評価の結果に基づき、セキュリティリスクの緩和策（リスクを低減するための対策方針）、及び必要な場合は例外措置（リスクを条件付きで受容）を検討することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。","■セキュリティリスクの分析・評価に基づく対応策のドキュメント\n・セキュリティリスクの緩和策（対策方針）\n・必要な場合、セキュリティリスクに対する緩和策、例外措置","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","SP800-218：PW.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","―","○",null,null,null,"リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"]
["S(1)-1.1.2.1.2","標準","セキュリティリスクの緩和策の達成手段に関する資料や情報がある。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェア対して、リスクベースの分析・評価の結果に基づき、セキュリティリスクを低減するための緩和策の達成手段を検討することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。","■セキュリティリスクの分析・評価に基づく対応策の検討に関するドキュメント\n・セキュリティリスクの緩和策の達成手段（例：ソフトウェアの機能、使用法又は環境条件による制約事項）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","SP800-218：PW.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","―","○",null,null,null,"リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"]
["S(1)-1.1.2.1.3","標準","セキュリティリスクに対する例外措置が存在する場合、その例外措置を承認する際の根拠となる資料や情報がある。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェア対して、リスクベースの分析・評価の結果に基づき、セキュリティリスクの緩和策や例外措置を検討し、リスクを条件付きで受容する例外処置を採用する場合は、その例外措置を正式な手続きに基づいて承認するための根拠（許容できるリスクと判断したことの根拠）を明らかにすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。","■セキュリティリスクの分析・評価に基づく対応策の検討に関するドキュメント\n・セキュリティリスクに対する例外措置の根拠（例：リスク軽減、移転、保持の効果判定）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","SP800-218：PW.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","―","○",null,null,null,"リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"]
["S(1)-1.1.2.2.1","最低限/標準","セキュリティリスクの緩和策の達成手段を実現するためのソフトウェアのセキュリティ要件を定義した資料がある。","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアに対して、リスクベースの分析・評価の結果に基づき、検討したセキュリティリスクの緩和策（対策方針）の達成手段を実現するためのソフトウェアのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価に基づくセキュリティ要件の定義前と考えられる）、当該セキュリティ要件の定義や設計上の決定に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■ソフトウェアのセキュリティ要件を定義したドキュメント\n・ソフトウェアの機能に関するセキュリティ要件\n・使用法又は環境条件となるセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.2","評価項目２：ソフトウェアのセキュリティ要件を定義していること。","SP800-218：PW.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","―","○",null,null,null,"リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"]
["S(1)-1.2.1.1.1","最低限/標準","設計がセキュリティ要件を満たすことが確認できるレビューの観点及び方法を適用している。","ドキュメント評価： \nソフトウェアの設計が、定義した全てのセキュリティ要件を満たすことが確認できる設計レビューの観点及び方法を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。","■設計レビュー方針のドキュメント\n・設計レビューの観点（例：セキュリティ要件に対する設計の充足性）\n・設計レビューの方法（例：ピアレビュー、リードレビュー、ウォークスルー、有資格者によるレビュー、ツールチェーンに組み込まれた自動化されたプロセスによるレビュー）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.1","S(1)-1.2.1.1","評価項目１：設計レビューの観点と方法を特定していること。","SP800-218：PW.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","―","○",null,null,null,"設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"]
["S(1)-1.2.1.1.2","最低限/標準","設計がセキュリティリスクの緩和に効果があることが確認できるレビューの観点及び方法を適用している。","ドキュメント評価： \n識別されたセキュリティリスクや脆弱性へのソフトウェア設計上の対応が適切であり（ソフトウェアの特性や開発環境に対して合理的な設計レビューの計画を立て、所定の期間で実施可能であること）、かつセキュリティリスクの緩和に効果があること（セキュリティ要件への対応状況、及び識別したリスクへの対応状況が設計レビューにより確認可能な方法であること）が確認できる設計レビューの観点及び方法を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。","■設計レビュー方針のドキュメント\n・設計レビューの観点（例：アーキテクチャの有効性、重要コードの仕様に対する準拠性、識別された脆弱性への対応、識別されたセキュリティリスクへの対応）\n・設計レビューの方法（例：ピアレビュー、リードレビュー、ウォークスルー、有資格者によるレビュー、ツールチェーンに組み込まれた自動化されたプロセスによるレビュー）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.1","S(1)-1.2.1.1","評価項目１：設計レビューの観点と方法を特定していること。","SP800-218：PW.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","―","○",null,null,null,"設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"]
["S(1)-1.2.1.2.1","最低限/標準","特定した設計レビューの観点及び方法に基づいて設計レビューを実施した資料や情報がある。","ドキュメント評価： \nソフトウェアの設計が、定義した全てのセキュリティ要件を満たすこと、識別されたセキュリティリスクや脆弱性への設計上の対応が適切であることを確認するために、選定した設計レビューの観点及び方法に従って設計レビューを実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。","■設計レビューの計画、及び結果のドキュメント\n・設計レビューに適用した方針（観点及び方法）に基づく具体的な設計レビュー計画\n・セキュリティ要件への対応に関する設計レビュー結果\n・セキュリティリスクへの対応に関する設計レビュー結果\n・設計レビュー指摘事項","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.1","S(1)-1.2.1.2","評価項目２：設計レビューの結果が存在すること。","SP800-218：PW.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","―","○",null,null,null,"設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"]
["S(1)-1.2.2.1.1","最低限/標準","ソフトウェア設計における設計レビューの指摘事項等の結果を反映するために、設計の修正を実施した資料や情報がある。","ドキュメント評価： \n対象とするソフトウェア設計の設計レビュー結果を反映し、設計修正を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、当該設計レビュー結果の反映時に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■設計修正の履歴及び修正内容のドキュメント\n・設計レビューの指摘事項に対応した設計修正の履歴、及び修正内容","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.2","S(1)-1.2.2.1","評価項目１：設計レビュー結果に基づいた設計修正の対応記録が存在すること。","SP800-218：PW.2.1","ソフトウェア設計において、レビュー結果を設計修正やリスク対応の変更等として反映していること。","―","○",null,null,null,"設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"]
["S(1)-1.2.2.2.1","最低限/標準","設計レビュー結果を反映するために、設計修正以外にリスク対応戦略を変更する必要が生じた場合、そのリスク対応戦略の変更を実施した資料や情報がある。","ドキュメント評価： \n対象とするソフトウェア設計の設計レビュー結果を反映するために、設計修正以外に、リスクモデルやリスク分析・評価方法の変更に関する検討を行い、リスク対応戦略を変更することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、当該設計レビュー結果の反映時に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■リスク対応戦略の変更の検討結果のドキュメント\n・リスクモデルの変更、及び/又はリスク分析・評価方法の変更に伴うリスク対処に関する検討結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.2","S(1)-1.2.2","S(1)-1.2.2.2","評価項目２：設計レビュー結果に基づいたリスク対応戦略の変更に関する記録が存在すること。","SP800-218：PW.2.1","ソフトウェア設計において、レビュー結果を設計修正やリスク対応の変更等として反映していること。","―","○",null,null,null,"設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"]
["S(1)-1.3.1.1.1","標準","定義されたソフトウェアのセキュリティ要件に基づくソフトウェアのリスク対応活動において証拠として利用可能な、設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びとそれらの根拠に関する記録がある。","ドキュメント評価： \n定義されたソフトウェアのセキュリティ要件に基づく設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びそれらの根拠を記録することで、ソフトウェアライフサイクル全体のリスク管理活動において活用可能とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示す記録をエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク対応活動の実施前と考えられる）、当該リスク対応活動記録の維持管理・共有に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■リスク対応活動で活用可能とするソフトウェアの設計に係る記録\n・設計上の決定事項とその根拠に関する記録\n・ソフトウェアが関係するリスク緩和策の達成手段とその根拠に関する記録\n・ソフトウェアが関係する例外措置とその、根拠、及び承認履歴に関する記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.3","S(1)-1.3.1","S(1)-1.3.1.1","評価項目１：ソフトウェアの設計に関係するリスク対応活動の記録が存在すること。","SP800-218：PW.1.2","設計上の決定事項、リスク軽減の達成方法、承認された例外措置に関する記録をソフトウェアライフサイクル全体を通じて監査・保守目的で使用されるよう維持管理・共有していること。","―","○",null,null,null,"リスク対応記録","設計上の決定事項、リスクへの対応、承認された例外措置に関する記録を保持し、ソフトウェアのライフサイクル全体を通じて監査や保守の目的で使用できるように維持する。"]
["S(1)-1.3.1.2.1","標準","ソフトウェアのリスク対応活動に関する記録を、ソフトウェアライフサイクル全体で維持管理し、監査や保守の活動で活用可能とするための手続きや仕組みに関する資料や情報がある。","ドキュメント評価： \n開発するソフトウェアに係るリスク対応活動の記録を、ソフトウェアライフサイクル全体で維持管理するために必要な手続きや仕組みを整備するとともに、開発するソフトウェアに係る監査や保守の活動においても活用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク対応活動の実施前と考えられる）、当該リスク対応活動記録の維持管理・共有に適用する手続きなど、事前に準備すべきドキュメントを評価する。","■リスク対応活動記録の維持管理・共有に関するドキュメント\n・リスク対応活動記録を維持管理するための手段・仕組み\n・ソフトウェアのリスク対応活動記録を設計者及び関連担当者（監査者、保守担当者など）間で共有するための手段・仕組み\n・ソフトウェアのリスク対応活動の記録が監査や保守の目的で利用された証拠となる記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.3","S(1)-1.3.1","S(1)-1.3.1.2","評価項目２：リスク対応活動の記録を維持管理・共有していること。","SP800-218：PW.1.2","設計上の決定事項、リスク軽減の達成方法、承認された例外措置に関する記録をソフトウェアライフサイクル全体を通じて監査・保守目的で使用されるよう維持管理・共有していること。","―","○",null,null,null,"リスク対応記録","設計上の決定事項、リスクへの対応、承認された例外措置に関する記録を保持し、ソフトウェアのライフサイクル全体を通じて監査や保守の目的で使用できるように維持する。"]
["S(1)-1.4.1.1.1","標準","リスクモデルの妥当性、及びリスク分析・評価結果に基づくセキュリティリスクの緩和策、及び例外処置の妥当性に関する定期的なレビューの手続き、及び結果に関する資料や情報がある。","ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、採用したリスクモデルの定期的なレビューを実施し、リスクモデルの妥当性を確認すること、及びリスク分析・評価の結果の定期的なレビューを実施し、セキュリティリスクの緩和策、及び例外処置の妥当性を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクモデルの定期的な確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■リスクモデル、及びリスク分析・評価のレビュー手続き、及びレビュー結果のドキュメント\n・リスクモデル、及びリスク分析・評価結果の定期的なレビューに関する手続き\n・リスクモデルのレビュー結果（例：リスクモデルの見直し等の指摘事項）\n・リスク分析・評価結果のレビュー結果（例：リスク分析・評価の再確認等の指摘事項）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.1","S(1)-1.4.1.1","評価項目１：リスク分析・評価結果の定期的なレビュー結果が存在すること。","SP800-218：PW.1.2、PW.2.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","―","○",null,null,null,"リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"]
["S(1)-1.4.1.2.1","標準","ソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。","ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、採用したリスクモデル、及びリスク分析・評価結果の定期的なレビューの結果を踏まえて、セキュリティリスクの緩和策の達成手段であるソフトウェア設計がセキュリティリスクの対処方法として妥当であることを確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの分析・評価結果の定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■定期的なセキュリティリスクの対処方法の確認結果のドキュメント\n・セキュリティリスクの緩和策の確認結果（例：緩和策の見直し等の指摘事項）\n・セキュリティリスクの例外措置の確認結果（例：例外措置の見直し等の指摘事項）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.1","S(1)-1.4.1.2","評価項目２：セキュリティリスクの対処方法の定期的な確認結果が存在すること。","SP800-218：PW.1.2、PW.2.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","―","○",null,null,null,"リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"]
["S(1)-1.4.1.2.2","標準","必要な場合、セキュリティ要件に対するソフトウェアの設計への反映を実施した資料や情報がある。","ドキュメント評価： \nソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認の結果、リスク環境の変化等が及ぼす影響等を踏まえ、セキュリティ要件を満たすために必要と判断した場合、リスク対処のためのソフトウェア設計を見直すことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの分析・評価結果の定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■設計修正の履歴及び修正内容のドキュメント\n・（必要な場合）定期的なセキュリティリスクの対処方法の確認結果に対応したソフトウェアの設計修正の履歴、及び修正内容","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.1","S(1)-1.4.1.2","評価項目２：セキュリティリスクの対処方法の定期的な確認結果が存在すること。","SP800-218：PW.1.2、PW.2.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","―","○",null,null,null,"リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"]
["S(1)-1.4.2.1.1","標準","セキュリティ要件に対する例外処置がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。","ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、セキュリティ要件に対する例外処置の定期的な確認を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■定期的な例外措置の確認結果のドキュメント\n・セキュリティリスクに対する例外処置、根拠（例：リスク軽減、移転、保有の効果判定）の再評価結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.2","S(1)-1.4.2.1","評価項目１：例外処置によるリスクの対処方法の定期的な確認結果が存在すること。","SP800-218：PW.1.2","セキュリティ要件に対する全ての例外処置を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認していること。","―","○",null,null,null,"リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"]
["S(1)-1.4.2.1.2","標準","必要な場合、セキュリティ要件に対する例外処置によるセキュリティリスクへの対処方法の変更を承認し、変更を実施した資料や情報がある。","ドキュメント評価： \nセキュリティ要件に対する例外処置の定期的な確認の結果、リスク環境の変化等が及ぼす影響を考慮する必要があると判断した場合、セキュリティリスクへの対処方法を見直し、その変更を承認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","■定期的な例外措置の確認結果のドキュメント\n・（必要な場合）リスク対処方法の変更の承認履歴\n・（必要な場合）リスク対処方法の変更を実施した変更履歴、及び変更内容（例：セキュリティリスクに対する見直された例外処置、セキュリティリスク緩和策となるソフトウェア設計の修正）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-1.4","S(1)-1.4.2","S(1)-1.4.2.1","評価項目１：例外処置によるリスクの対処方法の定期的な確認結果が存在すること。","SP800-218：PW.1.2","セキュリティ要件に対する全ての例外処置を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認していること。","―","○",null,null,null,"リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"]
["S(1)-2.1.1.1.1","最低限/標準","適用する開発言語・開発環境に、ビルド時に組み込まれるおそれのある脆弱性が含まれないことをチェックする手続きに関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発に適用する開発言語や開発環境自体、もしくはそれらをビルドで使用する際に、ビルド時に組み込まれるおそれのある脆弱性が含まれていないことをチェックすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性チェック手続きのドキュメント\n・ツール（開発言語・開発環境など）に関連する脆弱性を事前にチェックする手続き（例：リリースノート等に記載された禁止された使用法、適用すべきパッチに関連する脆弱性、ビルド時の中間生成物や成果物に影響を与える脆弱性（メモリセーフ機能や暗号機能の誤使用等）、使用時に考慮すべき脆弱性（依存ライブラリやツール自身の脆弱性等）など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.1","評価項目１：適用する開発言語・開発環境が関連する脆弱性をチェックしていること。","SP800-218：PW.5.1、PW.6.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","―","○",null,null,null,"セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.1.1.2.1","標準","開発言語・開発環境の選定・更新の手続き、選定基準、更新基準に関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発言語や開発環境を選定・更新する際に適用する手続き、及び基準を定めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールの選定・更新プロセスに関するドキュメント\n・開発に使用するツールの選定・更新に関する手続き\n・ツールの選定・更新に関連する基準の定義","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.2","評価項目２：開発言語・開発環境の選定・更新プロセスを定義していること。","SP800-218：PW.5.1、PW.6.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","―","○",null,null,null,"セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.1.1.3.1","最低限/標準","適用する開発言語・開発環境において、実装に影響を与えるオプション設定を含む使用法に関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発言語や開発環境を使用する際に、ソフトウェアの実装に影響を与える開発言語や開発環境のオプションを正しく設定することを含む使用法を定め、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアビルドプロセスを定義したドキュメント\n・ツールの使用法（実装に依存するオプションの定義を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","SP800-218：PW.5.1、PW.6.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","―","○",null,null,null,"セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.1.1.3.2","最低限/標準","適用する開発言語・開発環境を使用することにより、識別した脆弱性がビルド時に組み込まれることを回避できる手続きに関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、識別した脆弱性がビルド時に組み込まれることを回避できる手続きを採用することにより、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアビルドプロセスを定義したドキュメント\n・ツールの利用手続き（ビルド方法、ビルド実施タイミングを含む）\n・ツールの利用に関するトレーニングプログラム\n・（適用している場合）DevOpsあるいはDevSecOpsの各工程を自動化するツール等によるツールチェーンを適用した開発環境の利用手続き","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","SP800-218：PW.5.1、PW.6.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","―","○",null,null,null,"セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.1.1.3.3","標準","ビルドツールを導入・更新するための変更管理手続き、ツールの真正性と整合性を継続的又は定期的に検証する手続き、及びこれらの実施体制に関する資料や情報がある。","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、ビルドツールを導入・更新するための変更管理手続き、ビルドツールの真正性（信頼できる正しいツールであること）と整合性（ツールに改ざんや破損がないこと）を継続的又は定期的に検証する手続きを整備するとともに、これらの手続きを実施するための体制を整備することにより、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアビルドプロセスを定義したドキュメント\n・ツールの導入・更新に関する変更管理手続き・ツールの真正性と整合性の継続的又は定期的な検証に関する手続き\n・ツールの導入・更新、検証の手続きを実施する体制","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","SP800-218：PW.5.1、PW.6.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","―","○",null,null,null,"セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.1.2.1.1","最低限/標準","適用する開発言語と開発環境に適したセキュアコーディングの指針、及びツールを定義した資料や情報がある。","ドキュメント評価： \nソフトウェアの設計・開発中にソースコードなどのコードベースに混入する脆弱性を抑止するために、開発するソフトウェアに適用する開発言語と開発環境に適したセキュアコーディングの指針やツールを定めたセキュアコーディングプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアコーディングプロセスを定義するドキュメント\n・セキュアなコードとするための原則・規則に関する参照すべき慣行\n・組織が定めるセキュアコーディング標準\n・組織が定めるコーディング・レビューに関する規定\n・適用する開発言語のセキュアな使用法\n・適用する開発環境（ツール等）のコード生成に係るセキュアな使用法\n・DevOpsあるいはDevSecOpsの各工程を自動化するツール等によるツールチェーンを適用した開発環境のコード生成に係るセキュアな使用法\n\n■実装標準への準拠要求に関するドキュメント\n・セキュアコーディングプロセスで定義した実装標準","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.2","S(1)-2.1.2.1","評価項目１：適用するセキュアコーディングプロセスを定義していること。","SP800-218：PW.5.1、OWASP Secure Coding Practices、CERT Coding Standards、IPA セキュアプログラミング講座等","開発言語・開発環境に適したセキュアコーディングのためのプロセスを定義していること。","―","○",null,null,null,"セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.1.2.1.2","標準","定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境が適用されている。","ドキュメント評価： \nソフトウェアの設計・開発中にソースコードなどのコードベースに混入する脆弱性を抑止するために、定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境を使用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■実装標準への準拠要求に対応する機能に関するドキュメント\n・実装標準への準拠要求を満たすための自動化されたツール機能","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.2","S(1)-2.1.2.1","評価項目１：適用するセキュアコーディングプロセスを定義していること。","SP800-218：PW.5.1、OWASP Secure Coding Practices、CERT Coding Standards、IPA セキュアプログラミング講座等","開発言語・開発環境に適したセキュアコーディングのためのプロセスを定義していること。","―","○",null,null,null,"セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.1.3.1.1","最低限/標準","ソフトウェアのデフォルト状態を安全な状態とするためのデフォルトセキュアとする指針を定義した資料や情報がある。","ドキュメント評価： \nソフトウェアを出荷する際のデフォルト状態がセキュアな状態となるようにソフトウェアを設計する指針を定めたデフォルトセキュアプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■デフォルトセキュアプロセスを定義するドキュメント\n・デフォルトセキュアな設計・設定とするための原則・規則","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.3","S(1)-2.1.3.1","評価項目１：適用するデフォルトセキュアプロセスを定義していること。","SP800-218：PW.9.2","ソフトウェアの利用者向けにデフォルトセキュアな設定を実装するためのプロセスを定義していること。","―","○",null,null,null,"セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.1.3.1.2","標準","ソフトウェアのデフォルト構成を使用可能な形式で保存し、変更を管理するための指針を定義した資料や情報がある。","ドキュメント評価： \nソフトウェアのデフォルト構成を使用可能な形式（設定のコードとしての管理等）で保存し、変更を管理するための指針を定めたデフォルトセキュアプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■デフォルトセキュアプロセスを定義するドキュメント\n・デフォルト構成の保存と変更管理に関する規定","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.1","S(1)-2.1.3","S(1)-2.1.3.1","評価項目１：適用するデフォルトセキュアプロセスを定義していること。","SP800-218：PW.9.2","ソフトウェアの利用者向けにデフォルトセキュアな設定を実装するためのプロセスを定義していること。","―","○",null,null,null,"セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"]
["S(1)-2.2.1.1.1","最低限/標準","実行可能形式のセキュリティを向上させる機能を提供するビルドツールを識別・選定した資料や情報がある。","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、セキュアに使用できるツールを選定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツールの採用にあたっては、セキュリティの維持とレジリエンス向上を確保するために更新に関する手続も評価する。","■開発に適用する各ツールの識別、選定に関するドキュメント\n・選定した各ツール（開発言語・開発環境（コンパイラ、インタプリタ、ビルドツール等）など）の識別\n・各ツールの選定方法\n・選定した各ツールの選定結果（評価結果、選定理由を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.2","S(1)-2.2.1","S(1)-2.2.1.1","評価項目１：定義したプロセスに従って、ツールを選定していること。","SP800-218：PW.6.1","定義したプロセスに従い、開発に適用するツールを選定していること。","―","○",null,null,null,"セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。"]
["S(1)-2.2.1.1.2","標準","選定したビルドツールが、識別した脆弱性を軽減することを示す根拠となる資料や情報がある。","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスのを定義に従い、識別した脆弱性を軽減することに効果があるビルドツールを選定し採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツールの採用にあたっては、セキュリティの維持とレジリエンス向上を確保するために更新に関する手続も評価する。","■開発に適用する各ツールの識別、選定に関するドキュメント\n・選定した各ツールの脆弱性分析結果（識別した脆弱性を軽減する根拠を含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.2","S(1)-2.2.1","S(1)-2.2.1.1","評価項目１：定義したプロセスに従って、ツールを選定していること。","SP800-218：PW.6.1","定義したプロセスに従い、開発に適用するツールを選定していること。","―","○",null,null,null,"セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。"]
["S(1)-2.2.2.1.1","最低限/標準","ビルドツールの使用機能と設定オプションを決定し、承認された構成でビルドした結果の資料や情報がある。","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、ビルドツールの使用機能と設定オプションを決定し、承認された構成でツールを使用しビルドすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発に適用する各ツール（コンパイラ、インタプリタ、ビルドツールなど）の構成、設定、利用に関するドキュメント\n・開発に適用する各ツールの構成\n・開発に適用する各ツールの機能とオプションの設定内容\n\n■開発に適用する各ツールの決定、承認の記録\n・開発に適用する各ツールの構成・設定・利用の決定・承認の履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.2","S(1)-2.2.2","S(1)-2.2.2.1","評価項目１：定義したプロセスに従って、承認された構成でツールを使用し、実行可能形式をビルドしていること。","SP800-218：PW.6.2","定義したプロセスに従い、開発に適用するツールを使用して、承認された構成に基づきビルドしていること。","―","○",null,null,null,"セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。"]
["S(1)-2.2.2.1.3","標準","ビルドツールの真正性と整合性の継続的又は定期的な検証に関する記録が存在する。","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、ビルドツールの真正性（信頼できる正しいツールであること）と整合性（ツールに改ざんや破損がないこと）の定期的又は継続的又は定期的な検証を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発に適用する各ツールの検証の記録\n・開発に適用する各ツールの定期的又は継続的又は継続的な検証結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.2","S(1)-2.2.2","S(1)-2.2.2.1","評価項目１：定義したプロセスに従って、承認された構成でツールを使用し、実行可能形式をビルドしていること。","SP800-218：PW.6.2","定義したプロセスに従い、開発に適用するツールを使用して、承認された構成に基づきビルドしていること。","―","○",null,null,null,"セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。"]
["S(1)-2.3.1.1.1","最低限/標準","ソフトウェアの段階に応じて、コードレビュー及び/又は分析方法を選択し、レビューを実施するタイミングと方法を定義した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、ソフトウェアのライフサイクルに応じたタイミング・方法で実施する計画を立案することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析の計画に関するドキュメント\n・コードレビュー及び/又はコード分析の計画（タイミング、方法を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","SP800-218：PW.7.1、PW.7.2","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.3.1.1.2","最低限/標準","コードレビュー及び/又はコード分析により発見された指摘事項の情報管理に関する資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析により発見した指摘事項を情報管理し、課題追跡において活用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析の情報管理に関するドキュメント\n・コードレビュー及び/又はコード分析と結果の情報管理（課題追跡システムなどによる分析・レビュー結果の管理）に関する規定・手順","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","SP800-218：PW.7.1、PW.7.2","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.3.1.1.3","標準","コードレビュー及び/又はコード分析のどちらを使用すべきかを、組織の定義に従って決定した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析の手法を、ソフトウェアのライフサイクル全体で一貫したレビューとすることを目的とした組織の定義に従って決定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析に関する記録\n・組織の定義にしたがってレビュー方法を決定した記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","SP800-218：PW.7.1、PW.7.2","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.3.1.2.1","最低限/標準","定義されたタイミングと方法に基づき、コードレビュー及び/又はコード分析を実施した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、計画したタイミング・方法で実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析結果に関するドキュメント及び記録\n・コードレビュー結果\n・コード分析結果（ツールによる分析結果を含む）\n・発見された指摘事項の情報管理の記録（課題追跡システムなどを含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","SP800-218：PW.7.1、PW.7.2","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.3.1.2.2","最低限/標準","必要な場合、サードパーティのコードや社内で再利用するコードに対して、コードレビュー及び/又はコード分析を実施した資料や情報がある。","ドキュメント評価：\n対象とするソフトウェアに含まれるサードパーティのコードや社内で再利用するコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、必要なタイミング・方法で計画及び実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析結果に関するドキュメント及び記録\n・（必要な場合）サードパーティのコードに対するコードレビュー結果\n・（必要な場合）サードパーティのコードに対するコード分析結果（ツールによる分析結果を含む）\n・（必要な場合）社内で再利用するコードに対するコードレビュー結果\n・（必要な場合）社内で再利用するコードに対するコード分析結果（ツールによる分析結果を含む）・発見された指摘事項の情報管理の記録（課題追跡システムなどを含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","SP800-218：PW.7.1、PW.7.2","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.3.1.2.3","標準","ツール（静的コード分析ツールなど）を使用して、コードの脆弱性と組織のセキュアコーディング標準への準拠を点検した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析により、コード内の脆弱性の有無確認、及び組織のセキュアコーディング標準への準拠性を点検することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析結果に関するドキュメント\n・コード内の脆弱性の確認結果\n・組織が定義したセキュアコーディング標準への準拠性の確認結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","SP800-218：PW.7.1、PW.7.2","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.3.1.3.1","最低限/標準","コードレビュー及び/又はコード分析の結果を検証し、問題の根本原因を整理・特定した資料や情報がある。","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析の結果を検証することで、問題の根本原因を特定することについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析結果に基づく検証結果に関するドキュメント\n・コードレビュー・分析結果に基づく検証結果（発見された問題の根本原因の考察を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.3","評価項目３：コードレビュー・分析結果の検証により発見された問題の根本原因を特定していること。","SP800-218：PW.7.1、PW.7.2","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.3.2.2.1","最低限/標準","特定した根本原因を分類し、推奨する改善策と優先度に関する助言とともに、該当するプロセスにフィードバック又は共有した資料や情報がある。","ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を分析することにより特定した根本原因と対応結果を分類し、推奨する改善策と優先度（トリアージが必要な場合に有用となる重要度のレベル付け、対応可否の検討など）に関する助言とともに、対象となるプロセスの実施主体にフィードバック又は共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■特定した根本原因の対応結果のフィードバック・共有に関連するドキュメント又は記録\n・根本原因の対応結果のフィードバック・共有に関する仕組み又は実施の履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.2.2","評価項目２：問題の根本原因に対する対応結果を、プロセスにフィードバックした記録が存在すること。","SP800-218：PW.7.2","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.3.2.3.1","最低限/標準","特定した根本原因への対応を踏まえ、プロセスの定義を変更し、プロセスの実装に反映した資料や情報がある。","ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を分析することにより特定した根本原因と対応結果を踏まえ、問題の発生を排除もしくは低減するために根本原因となるプロセスの定義を更新することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュア開発プロセス定義の更新に関するドキュメント又は記録\n・定義したセキュア開発プロセス（セキュアビルドプロセス、セキュアコーディングプロセス、デフォルトセキュアプロセス）の更新履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.2.3","評価項目３：問題の根本原因への対応を踏まえ、プロセスを更新した記録が存在すること。","SP800-218：PW.7.2","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.3.2.1.1","最低限/標準","問題の指摘事項をプロセス（コーディングなど）にフィードバック又は共有した資料や情報がある。","ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を、対象となるプロセスの実施主体にフィードバック又は共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■問題の指摘事項のフィードバック・共有に関連するドキュメント又は記録\n・問題の指摘事項のフィードバック・共有に関する履歴（課題追跡システムなどの履歴を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.3","S(1)-2.3.2","S(1)-2.3.2.1","評価項目１：問題の指摘事項をプロセスにフィードバックした記録が存在すること。","SP800-218：PW.7.2","特定された指摘事項、及び根本原因に対する対応結果をプロセスへフィードバックし、プロセスを必要に応じて更新していること。","―","○",null,null,null,"検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"]
["S(1)-2.4.1.1.1","最低限/標準","組織のセキュアコーディング標準に基づき、コードレビュー及び/又はコード分析の対象とするコードベースを特定している資料や情報がある。","ドキュメント評価： \n組織のセキュアコーディング標準に準拠するために、ソフトウェアのコードレビュー及び/又はコード分析は、組織が可読とみなすあらゆる形式のコードベースを漏れなく対象として特定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析の対象に関するドキュメント\n・レビュー・分析対象のコードベース（例：ソースコード、テストコード、設定ファイル、コードとセットで理解が必要な情報に関する定義コード、AIツールへ入力するコード、AIツールが生成したコード）、もしくはそれらをレビュー・分析対象としていることを示す記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.4","S(1)-2.4.1","S(1)-2.4.1.1","評価項目１：コードレビュー・分析の対象とするコードベースを漏れなく特定していること。","SP800-218：PW.7.2","コードレビューとコード分析の対象を、組織が可読とみなすあらゆる形式のコードとしていること。","―","○",null,null,null,"コードベース","レビュー及び分析の対象は、ソースコードのみでなく、可読性があると組織が決定したさまざまな形式のコード（設定ファイル等）も対象とする。"]
["S(1)-2.4.1.1.2","最低限/標準","必要な場合、サードパーティのコードや組織内で作成した再利用可能なコードをレビュー及び/又は分析の対象とする資料や情報がある。","ドキュメント評価： \n組織のセキュアコーディング標準に準拠するために、ソフトウェアのコードレビュー及び/又はコード分析は、必要に応じて、サードパーティのコードや組織内で作成した再利用可能なコードを対象とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コードレビュー・分析の対象に関するドキュメント\n・（必要な場合）レビュー・分析対象のサードパーティのコード\n・（必要な場合）組織内で作成した再利用可能なコードをレビュー・分析対象としていることを示す記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-2.4","S(1)-2.4.1","S(1)-2.4.1.1","評価項目１：コードレビュー・分析の対象とするコードベースを漏れなく特定していること。","SP800-218：PW.7.2","コードレビューとコード分析の対象を、組織が可読とみなすあらゆる形式のコードとしていること。","―","○",null,null,null,"コードベース","レビュー及び分析の対象は、ソースコードのみでなく、可読性があると組織が決定したさまざまな形式のコード（設定ファイル等）も対象とする。"]
["S(1)-3.1.1.1.1","最低限/標準","脅威モデルに基づくリスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定した、セキュリティテスト計画に関する資料や情報がある。","ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画（脅威モデルに基づく、リスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定したテスト範囲、テスト方式、テスト実施時期を含む）を立案することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティテスト計画のドキュメント\n・テスト範囲、テスト方式、テスト実施時期、その他（例：体制、環境、ツール、適用する基準、日程、テスト仕様など）を含むテスト計画\n・脅威モデル、リスク分析（考慮すべき脆弱性を含む）、設計やコードのレビュー・分析などの結果を反映していることの根拠となる情報","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.1","S(1)-3.1.1","S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","SP800-218：PW.8.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","―","○",null,null,null,"テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。"]
["S(1)-3.1.1.1.2","最低限/標準","必要な場合、セキュリティテストのテスト範囲に、実行可能コードを実行する動的テストを含む資料や情報がある。","ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画を立案する際に、必要に応じて、実行可能コード（バイナリ、直接実行されるバイトコード、及び組織が実行可能であるとみなすその他の形式のコードを含む）を実行する動的テストを含めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティテスト計画のドキュメント\n・（必要な場合）テスト方式（実行可能コードに対する動的なセキュリティテスト）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.1","S(1)-3.1.1","S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","SP800-218：PW.8.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","―","○",null,null,null,"テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。"]
["S(1)-3.1.1.1.3","標準","必要な場合、セキュリティテストの対象に、サードパーティの実行可能コードを含む資料や情報がある。","ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画を立案する際に、必要に応じて、サードパーティの実行可能コードを対象とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティテスト計画のドキュメント\n・（必要な場合）テスト範囲（サードパーティの実行可能コード）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.1","S(1)-3.1.1","S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","SP800-218：PW.8.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","―","○",null,null,null,"テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。"]
["S(1)-3.2.1.1.1","最低限/標準","セキュリティテストのテスト方式として、追加の機能テスト、脆弱性テスト、ファジングテスト、侵入テスト、その他のテスト方式のうち必要なすべてを特定した資料や情報がある。","ドキュメント評価： \nソフトウェアをリリースする前に実施するセキュリティテスト計画として、残存する脆弱性を確認するのに適した全てのセキュリティテストのテスト方式を特定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n動的セキュリティテストとしては、追加の機能テスト（機能テストを脆弱性有無確認に拡張）、脆弱性テスト（特定の脆弱性の有無確認のためのテスト）、ファジングテスト（異常データや意図しないデータを大量に自動投入しバグや脆弱性を検出するテスト）、侵入テスト（脆弱性有無を探索して侵入が成立するかを確認する疑似攻撃テスト）、その他のテスト方式（デフォルト設定状態及び設定変更後のセキュリティ上の弱点や運用上の問題を確認するテストなどを含む）から、必要なすべてを特定する。","■セキュリティテスト計画のドキュメント\n・動的なセキュリティテストのテスト方式の特定\n・特定したテスト方式で十分とした根拠","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.2","S(1)-3.2.1","S(1)-3.2.1.1","評価項目１：セキュリティテストのテスト方式を特定していること。","SP800-218：PW.8.1、PW.8.2","機能テスト、脆弱性テスト、ファジング、侵入テスト等から適切なテスト方式を選択していること。","―","○",null,null,null,"テスト方式","テスト方式には、機能テスト、脆弱性テスト、ファジング、侵入テストなどを含める。"]
["S(1)-3.3.1.1.1","最低限/標準","セキュリティテスト計画に基づいて設計・作成したセキュリティテストのテスト仕様・テスト環境の資料や情報がある。","ドキュメント評価：\nセキュリティテスト計画に基づいてテスト仕様を設計・作成し、テスト環境を構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■テスト仕様、テスト環境に関するドキュメント\n・セキュリティテストの仕様\n・テストを実施するためのテスト環境","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.3","S(1)-3.3.1","S(1)-3.3.1.1","評価項目１：セキュリティに特化したテスト計画に基づき、テストを設計、実施していること。","SP800-218：PW.8.2","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","―","○",null,null,null,"テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。"]
["S(1)-3.3.1.1.2","最低限/標準","セキュリティテスト計画・テスト仕様・テスト環境を使用してセキュリティテストを実施した記録がある。","ドキュメント評価：\nソフトウェアをリリースする前に、セキュリティテスト計画、テスト仕様、テスト環境を使用してセキュリティテストを実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■テストの実施に関する記録\n・特定したテスト方式によるセキュリティテストを実施した記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.3","S(1)-3.3.1","S(1)-3.3.1.1","評価項目１：セキュリティに特化したテスト計画に基づき、テストを設計、実施していること。","SP800-218：PW.8.2","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","―","○",null,null,null,"テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。"]
["S(1)-3.3.1.2.1","最低限/標準","セキュリティテストの結果を文書化し、発見した全ての問題を記述した資料や情報がある。","ドキュメント評価：\nソフトウェアをリリースする前に、セキュリティテスト計画に基づいたセキュリティテストを実施し、発見した全ての問題（検出した残存脆弱性を含む）に関する記述と共にテスト結果を文書化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■テスト結果報告に関するドキュメント\n・テスト結果報告書（検出した問題の記述を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.3","S(1)-3.3.1","S(1)-3.3.1.2","評価項目２：セキュリティテストの結果を文書化していること。","SP800-218：PW.8.2","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","―","○",null,null,null,"テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。"]
["S(1)-3.4.1.1.1","最低限/標準","発見した問題、及び検討した対応策の情報管理に関する資料や情報がある。","ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対する対応策を検討し、その情報を管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。","■セキュリティテストで発見した問題への対処に関するドキュメント\n・問題への対応策に関する情報管理（課題追跡システムなどを含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.4","S(1)-3.4.1","S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","SP800-218：PW.8.2","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","―","○",null,"○",null,"問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。"]
["S(1)-3.4.1.1.2","最低限/標準","必要な場合、対応策に対する優先順位付けを実施した資料や情報がある。","ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対して、必要に応じて、緊急度・重要度の観点で対策の優先順位に基づく選別（トリアージ）を行い、対処すべき対応策を決定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。","■セキュリティテストで発見した問題への対処に関するドキュメント\n・（必要な場合）問題への対応策のトリアージに関する情報管理（課題追跡システムなどを含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.4","S(1)-3.4.1","S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","SP800-218：PW.8.2","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","―","○",null,"○",null,"問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。"]
["S(1)-3.4.1.1.3","最低限/標準","対応策を開発に組み込んで対処した内容に関する資料や情報がある。","ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対する対応策を、セキュア開発プロセスに基づく開発チームのワークフローに組み込んで対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。","■セキュリティテストで発見した問題への対処に関するドキュメント\n・問題への対応を開発チームのワークフローに組み込んで対処した内容及びその履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-3.4","S(1)-3.4.1","S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","SP800-218：PW.8.2","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","―","○",null,"○",null,"問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。"]
["S(1)-4.1.1.1.1","最低限/標準","システム・サービスの管理すべき資産の対象範囲の特定に関する資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産（情報、データなど）、及びシステム・サービスを構成する資産（ハードウェア、ソフトウェア、設定など）について、ソフトウェアの運用時に管理すべき資産の対象範囲を特定するための方針又は手順を、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n資産の対象範囲の特定は、運用を支援するシステム・サービスが扱う資産やソフトウェア構成要素を正確に把握することを目的とする。","■資産管理手順に関するドキュメント\n・ソフトウェア及びシステム・サービスの資産の対象範囲の特定に関する情報（例：管理すべき資産の範囲、管理すべき資産を特定するための方針又は手順）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.1","評価項目１：資産管理手順が存在すること。","SP800-218：PW.9.1\nDSP 1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","―",null,null,"○",null,"資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"]
["S(1)-4.1.1.1.2","最低限/標準","システム・サービスの資産の管理手順に関する資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順（セキュアな維持の方法を含む）を、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■資産管理手順に関するドキュメント\n・ソフトウェア及びシステム・サービスの資産管理方法","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.1","評価項目１：資産管理手順が存在すること。","SP800-218：PW.9.1\nDSP 1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","―",null,null,"○",null,"資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"]
["S(1)-4.1.1.2.1","最低限/標準","システム・サービスの資産管理手順に従って整備した資産リストに関する資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストを、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■資産リストに関するドキュメント\n・ソフトウェア及びシステム・サービスの資産に関するリスト（例：システム・サービスが管理する情報資産、システム・サービスの構成要素）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.2","評価項目２：資産リストが存在すること。","SP800-218：PW.9.1\nDSP 1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","―",null,null,"○",null,"資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"]
["S(1)-4.1.1.3.1","最低限/標準","システム・サービスの資産管理手順に従い、資産リストに含まれる構成が、セキュリティ上の弱点や運用上の問題を含まないセキュアなベースラインを維持していることを示す資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストに含まれる構成要素が、顕在化した脆弱性などのセキュリティ上の弱点や、対応すべき運用上の問題を含まないと判断できるレベルを維持するように、運用者または運用を支援する立場で対応することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアな構成の維持に関するドキュメント\n・資産リストの構成がセキュアなベースラインを維持することを示す記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.3","評価項目３：資産のセキュアな構成を維持していること。","SP800-218：PW.9.1\nDSP 1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","―",null,null,"○",null,"資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"]
["S(1)-4.1.1.3.2","標準","資産リストのセキュアな構成を維持するために、構成管理・変更管理と連動することを示す資料や情報がある。","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストに含まれる構成要素のセキュアな構成を維持するために、運用者または運用を支援する立場で、これらの構成要素のバージョン情報や変更履歴を管理するために、構成管理や変更管理を連動させて  管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアな構成の維持に関するドキュメント\n・資産リストの維持に関連する構成管理・変更管理の履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.3","評価項目３：資産のセキュアな構成を維持していること。","SP800-218：PW.9.1\nDSP 1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","―",null,null,"○",null,"資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"]
["S(1)-4.2.1.1.1","標準","想定リスクに対する運用を考慮した本番運用環境のシステム分離に関する資料や情報がある。","ドキュメント評価： \nリスクの影響を低減するために、想定するリスクに対する運用を考慮して本番運用環境を分離することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■運用環境の分離に関するドキュメント\n・システムの運用環境のネットワーク構成、システム構成","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.1","S(1)-4.2.1.1","評価項目１：リスクの影響を考慮してシステムを分離していること。","SP800-218：PO.5.1\nDSP 1.2","リスクの影響を軽減するために、システムを適切に分離していること。","―",null,null,"○",null,"モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"]
["S(1)-4.2.1.1.2","標準","本番運用環境のシステムは、多層防御を意識した分離構成とする資料や情報がある。","ドキュメント評価： \n本番運用環境において、多層防御の考え方に基づき、システムを機能やセキュリティレベルごとにネットワークや物理層・論理層で分離し、それぞれの境界にセキュリティ監視機能（セキュリティ製品などのスタック）を配置することで、脅威の拡散を防止しリスクの影響を低減する分離構成とすること、及びリスクの影響を低減するために、セキュリティ監視に適した分離構成とし、分離した各構成へのアクセスの監視を適切に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n従来の境界型防御だけではなく、通信ごとにIDやコンテキストに基づく継続的な検証とセキュリティ監視機能を適用することによるゼロトラストの概念を採用していることも該当する。","■運用環境の構成及び管理状況のドキュメント\n・システムの運用環境におけるセキュリティスタックの配置構成（例：境界防御のための分離構成、システム機能別の分離構成、セキュリティレベルによる分離構成）\n・システム分離効果を維持するためのセキュリティコントロール（例：特権ユーザーのアクセス制御、すべてのアクセス試行のログ、監視ログの履歴）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.1","S(1)-4.2.1.1","評価項目１：リスクの影響を考慮してシステムを分離していること。","SP800-218：PO.5.1\nDSP 1.2","リスクの影響を軽減するために、システムを適切に分離していること。","―",null,null,"○",null,"モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"]
["S(1)-4.2.2.1.1","標準","本番運用環境のシステム内部のセキュリティの運用状況をモニタリングする環境を整備し、ログを生成、分析することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与えるセキュリティコントロールの運用状況を監視するためのモニタリング環境（ツール等）を整備し、ログを生成、分析することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■運用環境のシステムを監視するモニタリング環境のドキュメント\n・モニタリング環境の構成（例：セキュリティコントロールの運用状況を監視するツール構成、監視、検出、対応、回復に関連するセキュリティスタックの構成）\n・セキュリティコントロールの運用状況の監視に関するメカニズムの記述","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.2","S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","SP800-218：PW.5.1\nDSP 2.1","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","―",null,null,"○",null,"モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"]
["S(1)-4.2.2.1.2","標準","本番運用環境のシステムにおいて、操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出し、対応、回復することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与える可能性のある操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出するとともに、検出した攻撃への対応や回復のための手順を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■運用環境のサイバー攻撃への対応手順に関するドキュメント\n・モニタリング環境を利用したサイバー攻撃への対応手順（例：サイバー攻撃によるインシデント対応手順）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.2","S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","SP800-218：PW.5.1\nDSP 2.1","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","―",null,null,"○",null,"モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"]
["S(1)-4.2.2.1.3","標準","本番運用環境に展開されたすべてのソフトウェアに新たな脆弱性がないか継続的に監視し、発見された脆弱性にリスクベースで対応することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、本番運用環境のソフトウェアにおける脆弱性を継続的に監視し、発見された脆弱性に対してリスクベースで判断し対応することについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","■運用環境のソフトウェアの脆弱性の継続的な監視に関するドキュメント\n・本番運用環境で実施する脆弱性の監視と対応の手続き","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.2","S(1)-4.2.2","S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","SP800-218：PW.5.1\nDSP 2.1","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","―",null,null,"○",null,"モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"]
["S(1)-4.3.1.1.1","標準","開発者が、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータを保護するために、セキュリティ要件に対応するセキュリティメカニズムをソフトウェアに実装することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータの機密性・完全性の保護に資するセキュリティメカニズムをソフトウェアに実装・配備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティメカニズムの実装に関するドキュメント\n・ソフトウェアの動作として監視すべき保護セキュリティメカニズムの特定（例：標準化された識別認証管理、アクセス制御、ログ管理、暗号化・署名等）\n・セキュリティメカニズムの方式及び実装方法の概要\n・セキュリティメカニズムの配備及び監視方法の概要","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.3","S(1)-4.3.1","S(1)-4.3.1.1","評価項目１：セキュリティメカニズムを実装していること。","SP800-218：PO.5.2\nDSP 2.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","―","○",null,"○",null,"セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。"]
["S(1)-4.3.1.2.1","標準","運用者が、モニタリング環境にセキュリティメカニズムの動作状況を監視するための監視機能を実装することを示す資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータを保護するセキュリティメカニズムの動作状況を監視するための監視機能（セキュリティメカニズムの動作状況を、監査機能を介して収集・分析する機能）をモニタリング環境に実装・配備し、運用者が自らの権限で、ソフトウェアのセキュリティに影響を与える運用状況を把握することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■セキュリティメカニズムのモニタリング環境に関するドキュメント\n・セキュリティメカニズムの監視方式及び実装方法の概要\n・モニタリング環境の監視機能へのアクセス制御方式の概要","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.3","S(1)-4.3.1","S(1)-4.3.1.2","評価項目２：セキュリティメカニズムのモニタリング環境を整備していること。","SP800-218：PO.5.2\nDSP 2.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","―","○",null,"○",null,"セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。"]
["S(1)-4.3.1.2.2","標準","モニタリング環境の管理は最小権限の原則を実現する構成としている資料や情報がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータを保護するために実装・配備したセキュリティメカニズムの動作状況を監視するモニタリング環境の管理は、特定の管理者に限定する最小権限の原則に基づく構成とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■セキュリティメカニズムのモニタリング環境に関するドキュメント\n・モニタリング環境の管理機能へのアクセス制御方式の概要（例：最小権限、機能分離、最小機能などの実現方法）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.3","S(1)-4.3.1","S(1)-4.3.1.2","評価項目２：セキュリティメカニズムのモニタリング環境を整備していること。","SP800-218：PO.5.2\nDSP 2.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","―","○",null,"○",null,"セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。"]
["S(1)-4.4.1.1.1","最低限/標準","本番運用環境で動作するソフトウェアに実装した重要なメカニズムの動作状況をモニタリングした記録がある。","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与える重要なメカニズム（セキュリティメカニズム以外で、他のサービスと整合してソフトウェアの環境上にある情報資産及びデータを保護、維持することが求められるメカニズム）の運用状況を監視するためのモニタリング（対象メカニズムの動作状況のログ等による静的あるいは動的な監視）を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","■モニタリング記録のドキュメント\n・情報資産及びデータの保護に関連するメカニズムの動作状況の監視ログ","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.4","S(1)-4.4.1","S(1)-4.4.1.1","評価項目１：メカニズムの動作状況をモニタリングした記録が存在すること。","DSP 2.1","重要なサービスで動作するソフトウェアに適用したメカニズムの動作状況をモニタリングしていること。","―",null,null,"○",null,"モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。"]
["S(1)-4.4.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施した資料や情報がある。","ドキュメント評価： \nソフトウェア及びシステム・サービスの運用におけるリスク管理の一環として、セキュリティ評価を定期的に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア及びシステム・サービスに対するセキュリティ評価結果のドキュメント\n・ソフトウェアに対する定期的なセキュリティ評価結果\n・システム・サービスに対する定期的なセキュリティ評価結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.4","S(1)-4.4.2","S(1)-4.4.2.1","評価項目１：定期的に実施したセキュリティ評価結果が存在すること。","DSP 2.1","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施し、評価結果を組織のリスク管理の枠組みに統合していること。","―",null,null,"○",null,"モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。"]
["S(1)-4.4.2.2.1","最低限/標準","顧客をサポートする運用者としてリスク管理を実施する立場から、運用のリスク管理活動を実施した資料や情報がある。","ドキュメント評価： \nソフトウェア及びシステム・サービスの運用におけるリスク管理の一環として実施したセキュリティ評価の結果の指摘事項への対応を、顧客をサポートする運用者としての組織的なリスク対応活動として実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ評価の指摘事項への対応に関するドキュメント\n・ソフトウェアに対するセキュリティ評価の指摘事項を踏まえた是正計画、是正処置、改善計画等\n・システム・サービスに対するセキュリティ評価の指摘事項を踏まえた是正計画、是正処置、改善計画等\n■セキュリティ評価に係る運用者としての組織的なリスク対応活動の記録\n・セキュリティ評価の指摘事項への対応（是正計画、是正処置、改善計画等）に対する運用のリスク管理に関する決定事項に関する記録\n・運用のリスク緩和策の達成手段に関する記録\n・運用における例外措置、根拠、及び承認履歴に関する記録\n\n■リスク対応活動記録の維持管理・共有の記録\n・運用のリスク対応活動の記録が監査や保守の目的で利用された証拠となる記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(1)-4.4","S(1)-4.4.2","S(1)-4.4.2.2","評価項目２：セキュリティ評価結果を運用組織のリスク管理の枠組みで対処した記録が存在すること。","DSP 2.1","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施し、評価結果を組織のリスク管理の枠組みに統合していること。","―",null,null,"○",null,"モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。"]
["S(2)-1.1.1.1.1","最低限/標準","ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。","ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、標準化されたセキュリティ機能を求める場合、これらの具備すべきセキュリティ機能に対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n外部手配する外製ソフトウェアコンポーネントとは、例えば、標準化された、あるいはデファクトスタンダードなセキュリティ機能・サービスなどを提供するオープンソースソフトウェア、ソフトウェアライブラリ、モジュール、ミドルウェア、フレームワーク、あるいは、これらの機能を提供する機器を含むものである。\n標準化されたセキュリティ機能を具備するソフトウェアコンポーネントとは、例えば、以下のようなシステム・モジュールである。（それらの開発環境を含む場合もある）\n暗号・復号化モジュール、署名モジュール、ハッシュ値生成モジュール、認証システム/モジュール、ログ管理システム/モジュール、構成管理システム/モジュール、リリース管理システム/モジュール、問題管理システム/モジュール、脆弱性管理システム/モジュール","■標準化されたセキュリティ機能のためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠したセキュリティ機能に関するセキュリティ要件\n・標準化された仕様に基づくセキュリティ機能に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）\n・標準又はデファクトスタンダードな管理・制御方式を求めるセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.1","S(2)-1.1.1.1","評価項目１：標準化されたセキュリティ機能とサービスを使用するために、組織が定めたセキュリティ要件を定義していること。","SP800-218：PW.1.3","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","―","○",null,null,null,"ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"]
["S(2)-1.1.1.1.2","最低限/標準","組織が使用することができる標準化された外部サービスに関する組織のセキュリティ要件を定義した資料や情報がある。","ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、標準化された外部サービスを求める場合、これらのサービスに対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n外部手配するサービスとは、例えば、標準化された、あるいはデファクトスタンダードなセキュリティ機能・サービスなどを提供するオープンソースソフトウェア、ソフトウェアライブラリ、モジュール、ミドルウェア、フレームワークなどの機能を商用サービスとして提供するものである。\n標準化された外部サービスとは、例えば、以下のようなシステム・サービスである。（それらの開発環境を含む場合もある）\n暗号・復号化サービス、署名サービス、ハッシュ値生成サービス、認証システム/サービス、ログ管理システム/サービス、構成管理システム/サービス、リリース管理システム/サービス、問題管理システム/サービス、脆弱性管理システム/サービス","■標準化されたサービスを使用するためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠しサービスに関するセキュリティ要件\n・標準化された仕様に基づく使用可能なサービス（例：SaaS、PaaS、IaaS、その他）に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.1","S(2)-1.1.1.1","評価項目１：標準化されたセキュリティ機能とサービスを使用するために、組織が定めたセキュリティ要件を定義していること。","SP800-218：PW.1.3","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","―","○",null,null,null,"ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"]
["S(2)-1.1.1.2.1","最低限/標準","安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための組織の要件を定義した資料や情報がある。","ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外製ソフトウェアコンポーネントをセキュアに手配するために組織が定めた要件を定義したドキュメント\n・商用・オープンソースなどサードパーティが開発・提供するソフトウェアコンポーネントを安全に手配するために組織が定めた要件（例：取引実績、認証取得実績）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.1","S(2)-1.1.1.2","評価項目２：外製ソフトウェアコンポーネントをセキュアに手配するために、組織が定めた要件を定義していること。","SP800-218：PW.1.3","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","―","○",null,null,null,"ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"]
["S(2)-1.1.2.1.1","最低限/標準","外部手配するソフトウェアコンポーネントのセキュアな構成が要件を満たすことを確認した資料や情報がある。","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対する要件に基づいて、外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）をセキュアに構成することにより、そのソフトウェアコンポーネントが組織の要件を満たすことを確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・セキュアな構成により組織の要件を満たすことの確認結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","SP800-218：PW.4.1","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","―","○",null,null,null,"ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"]
["S(2)-1.1.2.1.2","最低限/標準","利用環境や使用状況に照らして、外部手配するソフトウェアコンポーネントが要件を満たすことをレビュー・評価した結果の資料や情報がある。","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対する要件に基づいて、外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対して、利用環境や使用状況を想定したレビュー・検証・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・利用環境や使用状況を踏まえた仕様・設定・操作などのレビュー・評価結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","SP800-218：PW.4.1","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","―","○",null,null,null,"ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"]
["S(2)-1.1.2.1.3","標準","ソースコードからソフトウェアコンポーネントをビルドし、利用環境や使用状況を踏まえて安全性を検証・評価した結果の資料や情報がある。","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネントに対する要件に基づいて、外部手配するソフトウェアコンポーネントに対して、利用環境や使用状況を想定したレビュー・検証・評価を実施する際、必要に応じて、ソースコードからソフトウェアコンポーネントをビルドし、動的確認・静的解析・動的解析を組み合わせて安全性を検証・評価することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・（必要な場合）ソースコードからのビルド及びセキュリティスキャンなどによる安全性検証・評価結果\n・（必要な場合）利用環境や使用状況を踏まえた動作確認、静的解析（バイナリスキャン）、又は動的解析による安全性検証・評価結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","SP800-218：PW.4.1","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","―","○",null,null,null,"ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"]
["S(2)-1.1.2.2.1","最低限/標準","評価結果に基づき、安全性の高い外製ソフトウェアコンポーネントを選定・取得した資料や情報がある。","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネントに対する要件に基づいて、外部手配するソフトウェアコンポーネントに対して、利用環境や使用状況を想定したレビュー・検証・評価を実施し、安全性の高い外製ソフトウェアコンポーネントを選定・取得することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部手配するソフトウェアコンポーネントの選定結果のドキュメント\n・レビュー・評価結果に基づく選定結果\n・安全性検証・評価結果に基づく選定結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.2","評価項目２：外製ソフトウェアコンポーネントに関する選定結果が存在すること。","SP800-218：PW.4.1","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","―","○",null,null,null,"ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"]
["S(2)-1.2.1.1.1","最低限/標準","外部手配するソフトウェアコンポーネントと同様に、内製するソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。","ドキュメント評価：\n内製するソフトウェアコンポーネントを開発する際、外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求める場合、これらの具備すべきセキュリティ機能に対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■標準化されたセキュリティ機能のためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠したセキュリティ機能に関するセキュリティ要件\n・標準化された仕様に基づくセキュリティ機能に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）\n・標準又はデファクトスタンダードな制御方式を求めるセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.1","S(2)-1.2.1.1","評価項目１：ソフトウェアコンポーネントの内製化に適用する組織のセキュリティ基準が存在すること。","SP800-218：PW.4.2","内製するソフトウェアコンポーネントに対するセキュリティ基準・慣行を、組織が確立していること。","―","○",null,null,null,"ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"]
["S(2)-1.2.1.2.1","最低限/標準","内製するソフトウェアコンポーネントの開発・維持には、S(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用する資料や情報がある。","ドキュメント評価：\n内製するソフトウェアコンポーネントを開発する際、原則としてS(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントが「セキュア開発プロセス」に従うことを示すドキュメント\n・組織が定義する「セキュア開発プロセス」を適用することが示された記述","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.1","S(2)-1.2.1.2","評価項目２：ソフトウェアコンポーネントの内製化に適用する、セキュアなソフトウェア開発に資する組織のセキュリティ慣行を特定していること。","SP800-218：PW.4.2","内製するソフトウェアコンポーネントに対するセキュリティ基準・慣行を、組織が確立していること。","―","○",null,null,null,"ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"]
["S(2)-1.2.2.1.1","最低限/標準","内製ソフトウェアコンポーネントのリストに関する資料や情報がある。","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントをリスト化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントのリストに関するドキュメント\n・内製ソフトウェアコンポーネント一覧のリスト","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.1","評価項目１：内製ソフトウェアコンポーネントリストが存在すること。","SP800-218：PW.4.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","―","○",null,null,null,"ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"]
["S(2)-1.2.2.1.2","標準","内製ソフトウェアコンポーネントを利用するためのリファレンスガイダンスに関する資料や情報がある。","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントを利用するためのリファレンスガイドを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントに関するドキュメント\n・内製ソフトウェアコンポーネントのリファレンスガイダンス（例：コンポーネントの仕様、セキュアな使用法）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.1","評価項目１：内製ソフトウェアコンポーネントリストが存在すること。","SP800-218：PW.4.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","―","○",null,null,null,"ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"]
["S(2)-1.2.2.2.1","最低限/標準","内製ソフトウェアコンポーネントのセキュアな構成に関する情報を維持管理・共有するための手続きや仕組みに関する資料や情報がある。","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントの開発成果物のセキュアな構成とインスタンスを維持管理・共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントの維持管理・共有に関するドキュメント\n・セキュアな構成とインスタンスのリポジトリに関する記述\n・リポジトリを維持管理・共有するための手段に関する記述","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.2","評価項目２：内製ソフトウェアコンポーネントのセキュアな構成に関する情報を管理・共有していること。","SP800-218：PW.4.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","―","○",null,null,null,"ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"]
["S(2)-1.2.2.2.2","標準","必要な場合、ソフトウェアコンポーネントの構成・設定を手動で行うことによるミスを防止する仕組みに関する資料や情報がある。","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントにおいて、必要に応じて、セキュアな構成・設定の手動実施によるミスを防止する仕組みを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■内製ソフトウェアコンポーネントの構成・設定の手動設定ミスを防止する仕組みに関するドキュメント又は記録・（必要な場合）構成・設定のコード化（例：CaC（configuration-as-code））\n・（必要な場合）構成・設定のバージョン管理（例：構成・設定情報の構成管理、ソフトウェア構成のCaC管理リポジトリ）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.2","評価項目２：内製ソフトウェアコンポーネントのセキュアな構成に関する情報を管理・共有していること。","SP800-218：PW.4.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","―","○",null,null,null,"ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"]
["S(2)-1.3.1.1.1","最低限/標準","組織が承認したソフトウェアコンポーネントを、コンポーネントバージョンの一覧及び、出所情報とともに維持管理する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントのバージョンの一覧、及び出所情報を取得・紐づけして維持管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントの出所情報の取得手順\n・ソフトウェアコンポーネントの出所情報の維持管理に関する手順","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","SP800-218：PW.4.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","―","○",null,null,null,"ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。"]
["S(2)-1.3.1.1.2","標準","各ソフトウェアコンポーネントの出所情報をシステム又はツールで管理することを示す資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントのバージョンの一覧、及び出所情報を取得・紐づけして維持管理する際、システム又はツール（例：SBOM）を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントのシステム又はツール（SBOM）による管理に関する手順\n・ソフトウェアコンポーネントの出所情報の維持管理記録の履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","SP800-218：PW.4.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","―","○",null,null,null,"ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。"]
["S(2)-1.3.1.1.3","標準","各ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけた管理とする資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけ管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果と出所情報との紐づけ管理記録の履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","SP800-218：PW.4.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","―","○",null,null,null,"ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。"]
["S(2)-1.3.1.2.1","最低限/標準","各ソフトウェアコンポーネントの出所情報に基づき、リスクを評価した結果に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、取得・紐づけ管理する出所情報に基づく信頼性の確認、履歴情報の確認、脅威や脆弱性の確認を通じてリスクを評価することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■出所情報に基づくソフトウェアコンポーネントのリスク評価結果のドキュメント\n・ソフトウェアコンポーネントのリスク評価結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.2","評価項目２：ソフトウェアコンポーネントの出所情報に基づき、リスク評価した結果が存在すること。","SP800-218：PW.4.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","―","○",null,null,null,"ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。"]
["S(2)-1.4.1.1.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の定期的又は継続的な確認を実施した資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を定期的又は継続的に確認し、ソフトウェアコンポーネントにおける既知の公知脆弱性の有無を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■各ソフトウェアコンポーネントの定期的な公知脆弱性確認に関するドキュメント\n・各ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.1","S(2)-1.4.1.1","評価項目１：ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果が存在すること。","SP800-218：PW.4.4","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","―","○",null,null,null,"ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"]
["S(2)-1.4.1.1.2","標準","必要な場合、導入した特定のソフトウェアコンポーネントの既知の公知脆弱性の自動検出をツールチェーンへ組込むことに関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を継続的に確認する際に、必要に応じて、導入済みソフトウェアコンポーネントのうち、リスクを踏まえ重要と判断した特定のソフトウェアコンポーネントと、既知の公知脆弱性情報のデータベースとを自動的に照合し、脆弱性を検出・特定する仕組みを、ツールチェーンに組み込むことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■各ソフトウェアコンポーネントの継続的な公知脆弱性確認に関するドキュメント\n・（必要な場合）導入した特定のソフトウェアコンポーネントの公知脆弱性の自動検出に関する手続き","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.1","S(2)-1.4.1.1","評価項目１：ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果が存在すること。","SP800-218：PW.4.4","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","―","○",null,null,null,"ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"]
["S(2)-1.4.1.2.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の確認結果から識別した未修正の脆弱性を除去もしくは低減するために実施した修正・変更を管理する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を定期的又は継続的に確認し、検出された未修正の公知脆弱性を除去もしくは低減するために実施したソフトウェアコンポーネントの修正（パッチ適用、コード修正など）・変更（適用バージョンの変更など）の対応結果を管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■各ソフトウェアコンポーネントの公知脆弱性への対応の管理に関するドキュメント\n・対応すべき未修正の公知脆弱性と修正・変更の対応策に関する手続き\n・ソフトウェアコンポーネントの修正・変更などの対応アクションの記録\n・セキュアな構成とインスタンスのリポジトリの更新に関する記録\n・脆弱性の修正を行わない場合の例外処置（例：逸脱等）に関する手続き","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.1","S(2)-1.4.1.2","評価項目２：ソフトウェアコンポーネントに対する未修正の脆弱性情報とその対応結果を管理していること。","SP800-218：PW.4.4","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","―","○",null,null,null,"ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"]
["S(2)-1.4.2.1.1","最低限/標準","各ソフトウェアコンポーネントのEOLの定期的又は継続的な確認結果に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントのEOL/EOSの情報を定期的又は継続的に収集することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■各ソフトウェアコンポーネントの定期的なEOL確認結果のドキュメント\n・各ソフトウェアコンポーネントのEOLもしくはEOSの確認記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.2","S(2)-1.4.2.1","評価項目１：ソフトウェアコンポーネントのサポート期間（EOL）の定期的な確認結果が存在すること。","SP800-218：PW.4.4、RV.2.1","各ソフトウェアコンポーネントのサポート期間が、EOLに達していないことを定期的に確認し、サポート期間が終了しているソフトウェアコンポーネント、または近い将来利用できなくなるソフトウェアコンポーネントに対する対応計画を策定していること。","―","○",null,null,null,"ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"]
["S(2)-1.4.2.2.1","最低限/標準","各ソフトウェアコンポーネントのEOL/EOSがこれを導入した対象ソフトウェアの運用期間内である場合、EOL/EOSに基づく対応計画（移行計画を含む）を策定した資料や情報がある。","ドキュメント評価：\n収集したソフトウェアコンポーネントのEOL/EOSの情報と、これを導入した対象ソフトウェアの運用期間への影響を確認し、EOL/EOSに対する対応計画を策定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■EOL/EOSに基づく対応計画のドキュメント\n・各ソフトウェアコンポーネントのEOL/EOSへの対応計画（例：移行計画）\n・対象ソフトウェアに導入したソフトウェアコンポーネントのEOL/EOSへの対応計画","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.4","S(2)-1.4.2","S(2)-1.4.2.2","評価項目２：ソフトウェアコンポーネントのサポート期間（EOL）及びサポート終了（EOS）に基づく対応計画が存在すること。","SP800-218：PW.4.4、RV.2.1","各ソフトウェアコンポーネントのサポート期間が、EOLに達していないことを定期的に確認し、サポート期間が終了しているソフトウェアコンポーネント、または近い将来利用できなくなるソフトウェアコンポーネントに対する対応計画を策定していること。","―","○",null,null,null,"ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"]
["S(2)-1.5.1.1.1","最低限/標準","ソフトウェアコンポーネントの更新プロセスの定義に関する資料や情報がある。","ドキュメント評価：\nセキュアにソフトウェアコンポーネントの更新を実施するためのプロセスを定義し、正式な手順として導入することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n・新バージョンへのセキュアな更新手続き（例：出所情報の取得・保存、更新におけるセキュリティチェック方法など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","SP800-218：PW.4.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","―","○",null,null,null,"ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"]
["S(2)-1.5.1.1.2","最低限/標準","更新プロセスとして、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネントの更新プロセスは、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n・旧バージョンの扱いに関する手続き（例：旧バージョンの移行完了までの扱いに関する手順（リカバリー手順）など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","SP800-218：PW.4.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","―","○",null,null,null,"ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"]
["S(2)-1.5.1.1.3","標準","必要な場合、更新するソフトウェアコンポーネントの整合性又は出所情報を検証、及びソースコードからバイナリをビルドして検証する手順に関する資料や情報がある。","ドキュメント評価：\nソフトウェアの整合性、出所情報の信頼性、コードとバイナリの一致など、サプライチェーンセキュリティの確証を高めるために、ソフトウェアコンポーネントの更新プロセスは、必要に応じて、整合性及び出所情報を検証し、ソースコードからバイナリをビルドして検証する手順を含むことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n\n・（必要な場合）更新するソフトウェアコンポーネントの検証に関する手続き（例：整合性の検証、出所情報の検証、ソースコードからバイナリをビルドして実施する検証）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","SP800-218：PW.4.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","―","○",null,null,null,"ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"]
["S(2)-1.5.1.2.1","最低限/標準","対象ソフトウェアに含まれるソフトウェアコンポーネントの更新時に、定義した更新プロセスを適用した資料や情報がある。","ドキュメント評価：\n対象ソフトウェアに含まれるソフトウェアコンポーネントの更新には、セキュアな更新を実施するために定義したプロセスを適用し、実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの更新手続きの記録に関するドキュメント\n・ソフトウェアコンポーネントの更新計画、更新結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.2","評価項目２：ソフトウェアコンポーネントのバージョン移行を定義したプロセスを導入していること。","SP800-218：PW.4.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","―","○",null,null,null,"ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"]
["S(2)-1.5.2.1.1","最低限/標準","ソフトウェアコンポーネントの脆弱性（公知脆弱性を含む）に対し、サプライチェーン上で対応することを決定するための手続きに関する資料や情報がある。","ドキュメント評価： \nソフトウェアコンポーネントの対応すべき脆弱性情報をサプライチェーン上で共有し、対応することを決定するための手続きについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの脆弱性情報の共有・対応に関する手続きに関するドキュメント\n・パッチ適用の決定に関する手続き（例：サプライチェーン上での情報共有、サプライチェーン上での脆弱性への対応の決定）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.2","S(2)-1.5.2.1","評価項目１：ソフトウェアコンポーネントの対応すべき脆弱性情報を、サプライチェーン上で共有する手続きが存在すること。","EU CRA ANNEX I Part II（6）\nNSA Developer 2.3.4\nNSA Supplier 2.4.1\nSP800-218：RV.1.3","導入した各ソフトウェアコンポーネントに存在する発見された対応すべき脆弱性を、当該ソフトウェアコンポーネントのサプライチェーン上で情報共有し、迅速なパッチ適用等により対処すること。","―","○",null,null,null,"ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"]
["S(2)-1.5.2.1.2","最低限/標準","ソフトウェアコンポーネントに対するパッチ適用等の対応に関する情報を、サプライチェーン上で受け渡す手続きに関する資料や情報がある。","ドキュメント評価： \n脆弱性に対応したソフトウェアコンポーネントを、そのソフトウェアコンポーネントを含む対象ソフトウェアの利用者である顧客まで配付するために、必要なパッチ適用等の対応に関する情報をサプライチェーン上で受け渡す手続きを定め、脆弱性情報と修正プログラムの流通を促進することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントのパッチ手続きに関するドキュメント\n・パッチ適用の受け渡しに関する手続き（例：サプライチェーン上でのパッチの生成と配付）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-1.5","S(2)-1.5.2","S(2)-1.5.2.1","評価項目１：ソフトウェアコンポーネントの対応すべき脆弱性情報を、サプライチェーン上で共有する手続きが存在すること。","EU CRA ANNEX I Part II（6）\nNSA Developer 2.3.4\nNSA Supplier 2.4.1\nSP800-218：RV.1.3","導入した各ソフトウェアコンポーネントに存在する発見された対応すべき脆弱性を、当該ソフトウェアコンポーネントのサプライチェーン上で情報共有し、迅速なパッチ適用等により対処すること。","―","○",null,null,null,"ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"]
["S(2)-2.1.1.1.1","最低限/標準","対象ソフトウェアの全てのコードベースのリポジトリに関する資料や情報がある。","ドキュメント評価：\n不正アクセスや改ざんから保護するために、対象ソフトウェアの全てのコードベースをリポジトリに保存することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアのコードベースは、ソースコード、実行可能コード、設定、リソースファイル、コンテナイメージ、コードとしての構成（CaC）など、全ての形式のコードを対象とするほか、オープンソースや言語クラスの部品群、完全性検証情報、出所情報なども対象とする。","■コードベースのリポジトリに関するドキュメント\n・コードベースのリポジトリへの保存方法に関する記述\n・リポジトリに保存するコードのタイプ（種類、形式）\n・リポジトリへのコードの保存記録の履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.1","S(2)-2.1.1","S(2)-2.1.1.1","評価項目１：全ての形式のコードベースをリポジトリに保存した記録が存在すること。","SP800-218：PS.1.1","全ての形式のコードベースをリポジトリに保存し、コードの性質に基づき最小限の原則に基づいてアクセスを制限していること。","―","○","○",null,null,"コードベースの保護","全ての形式のコードベースを不正アクセスや改ざんから保護するために、リポジトリにコードや設定情報を保管し、承認された担当者、ツール、サービスなどのみがアクセスできるよう最小権限の原則に基づいたアクセス制御を実施する。"]
["S(2)-2.1.1.2.1","最低限/標準","コードの性質に基づき、承認された担当者、ツール、サービスに絞るなど、コードベースへのアクセスを最小限に制限していることを示す資料や情報がある。","ドキュメント評価：\n不正アクセスや改ざんから保護するために、対象ソフトウェアの全ての形式のコードベースをリポジトリに保存し、コードの種別に基づき、かつ最小限のアクセスに制限することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nコードの種別によるアクセスの制御方式として、ソースコードや実行可能コードのファイルの正当性や整合性を保護するために暗号化技術（例：コード署名、コミット署名、ハッシュ）などを活用する。","■コードベースのリポジトリへのアクセス制限に関するドキュメント\n・リポジトリへのアクセス制御方法に関する記述\n・リポジトリへのアクセス制限に関する設定の記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.1","S(2)-2.1.1","S(2)-2.1.1.2","評価項目２：コードの性質に基づいてアクセスを制限していること。","SP800-218：PS.1.1","全ての形式のコードベースをリポジトリに保存し、コードの性質に基づき最小限の原則に基づいてアクセスを制限していること。","―","○","○",null,null,"コードベースの保護","全ての形式のコードベースを不正アクセスや改ざんから保護するために、リポジトリにコードや設定情報を保管し、承認された担当者、ツール、サービスなどのみがアクセスできるよう最小権限の原則に基づいたアクセス制御を実施する。"]
["S(2)-2.2.1.1.1","最低限/標準","リリース毎に保持が必要なファイルとサポートデータを脆弱性分析に活用できるようにアーカイブすることに関する資料や情報がある。","ドキュメント評価：\nリリース後に発見された脆弱性を分析・特定可能とするために、対象ソフトウェアの各リリースのインスタンスのファイルとサポートデータ（完全性検証情報、出所情報など）をアーカイブすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの各リリースのアーカイブに関するドキュメント\n・アーカイブするインスタンスの構成に関する記述\n・各リリースソフトウェアのアーカイブの情報（例：実行可能なバイナリ、コンテナイメージ、作成方法、格納場所、完全性に関する保護方法、完全性保護に関する情報、出所情報）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.2","S(2)-2.2.1","S(2)-2.2.1.1","評価項目１：ソフトウェアの各リリースのインスタンスをアーカイブしていること。","SP800-218：PS.3.1","ソフトウェアリリース毎に保持が必要なインスタンスを脆弱性分析に活用できるようにアーカイブし、アクセスを制限していること。","―","○","○",null,null,"リリースのアーカイブ","リリース後に発見された脆弱性を分析、特定できるようにするために、各ソフトウェアのリリースをアーカイブ化して保護する。"]
["S(2)-2.2.1.2.1","最低限/標準","アーカイブしたインスタンスに対して、データ署名などによる完全性の保証や、最小限のアクセス制限などの保護策を講じることを示す資料や情報がある。","ドキュメント評価：\nリリース後に発見された脆弱性の分析・特定の対象とするアーカイブインスタンスを管理するために、対象ソフトウェアの各リリースのインスタンスに対して、インスタンスの完全性の保証や最小限のアクセスに制限するなどの保護策を講じることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■アーカイブインスタンスの管理方法に関するドキュメント\n・アーカイブインスタンスへのアクセス制御方法に関する記述\n・アーカイブインスタンスのその他の保護策に関する記述","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.2","S(2)-2.2.1","S(2)-2.2.1.2","評価項目２：アーカイブしたインスタンスに対するアクセスを制限していること。","SP800-218：PS.3.1","ソフトウェアリリース毎に保持が必要なインスタンスを脆弱性分析に活用できるようにアーカイブし、アクセスを制限していること。","―","○","○",null,null,"リリースのアーカイブ","リリース後に発見された脆弱性を分析、特定できるようにするために、各ソフトウェアのリリースをアーカイブ化して保護する。"]
["S(2)-2.3.1.1.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの更新とともに、出所情報を収集・更新することに関する資料や情報がある。","ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集、更新するための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■出所情報の収集に関するドキュメント及び記録\n・収集する出所情報の内容に関する記述（例：コンポーネント名、バージョン情報、提供元情報、依存関係、ライセンス情報、SBOMタイムスタンプ、既知脆弱性情報）\n・出所情報を収集した記録\n・出所情報を更新した場合、その更新した記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.3","S(2)-2.3.1","S(2)-2.3.1.1","評価項目１：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集・保護する記録が存在すること。","SP800-218：PS.3.2","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","―","○","○",null,null,"リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。"]
["S(2)-2.3.1.1.2","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の整合性を保つ仕組みに関する資料や情報がある。","ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報の整合性を保つための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■出所情報の収集・保護に関するドキュメント\n・出所情報の整合性を保つ仕組みに関する記述（例：各リリースに紐づいたソフトウェアコンポーネントの出所情報の構成管理、コード署名と検証）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.3","S(2)-2.3.1","S(2)-2.3.1.1","評価項目１：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集・保護する記録が存在すること。","SP800-218：PS.3.2","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","―","○","○",null,null,"リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。"]
["S(2)-2.3.1.2.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の記録を維持管理・共有するための手続きや仕組みに関する資料や情報がある。","ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報の記録を維持、共有するための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■全てのソフトウェアコンポーネントの出所情報の維持管理・共有に関するドキュメント\n・出所情報の維持管理のための手段に関する記述（例：各リリースに紐づいたソフトウェアコンポーネントの出所情報の構成管理）\n・出所情報を開発者・供給者間で共有するための手段に関する記述","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-2.3","S(2)-2.3.1","S(2)-2.3.1.2","評価項目２：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を維持管理・共有していること。","SP800-218：PS.3.2","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","―","○","○",null,null,"リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。"]
["S(2)-3.1.1.1.1","最低限/標準","外部の事業者などからソフトウェアコンポーネントを手配する場合、要求するセキュリティ要件の合意事項を文書化した資料や情報がある。","ドキュメント評価： \nサードパーティ製のソフトウェアコンポーネント又はサービスを事業者が外部手配する際に、要求するセキュリティ要件を、外部調達先との合意事項とし、文書化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nサードパーティ製のソフトウェアコンポーネントには、自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む。外部手配するサービスには、開発するソフトウェア又はシステム・サービスの一部となるサービスを含む。\n供給者と運用者は、外部の事業者などと合意するセキュリティ要件が顧客のニーズや要求に適合していることの把握に努める必要がある。","■セキュリティ要件を合意事項とする文書のドキュメント\n・調達要件文書、ソフトウェア契約、その他サードパーティとの合意を約する内容に関する文書","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.1","S(2)-3.1.1","S(2)-3.1.1.1","評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を合意事項とした文書が存在すること。","SP800-218：PO.1.3","事業者が外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を、外部調達先との合意事項とし、文書化していること。","―","○","○","○",null,"セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。"]
["S(2)-3.1.2.1.1","最低限/標準","サプライチェーンセキュリティ要件を定義した資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、サプライチェーンセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■サプライチェーンセキュリティ要件に関するドキュメント\n・サプライチェーンセキュリティ方針（例：セキュリティ慣行の遵守状況、出所情報の提出）\n・サプライチェーンセキュリティ要件（例：セキュアコーディングに関する要件、セキュリティチェックに関する要件、脆弱性対応に関する要件、提供形態・提供手段・検証手段に関する要件、SBOM提供に関する要件、サポート内容・期間・条件に関する要件）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.1","S(2)-3.1.2","S(2)-3.1.2.1","評価項目１：サプライチェーン・リスクを軽減するためのサプライチェーンセキュリティ要件を定義していること。","SP800-218：PO.1.3","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","―","○","○","○",null,"セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。"]
["S(2)-3.1.2.2.1","最低限/標準","外部からソフトウェアコンポーネント又はサービスを手配し取得する側の事業者としての手配プロセスの定義に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、手配プロセスを定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアコンポーネントの手配プロセス定義に関するドキュメント\n・ソフトウェアコンポーネントの手配プロセス定義（例：購入用途の明確化、信頼できる配布先選定、契約内容・管理状態の良い供給者へのインセンティブ付与などの手順）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.1","S(2)-3.1.2","S(2)-3.1.2.2","評価項目２：ソフトウェアコンポーネントの手配プロセスを定義していること。","SP800-218：PO.1.3","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","―","○","○","○",null,"セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。"]
["S(2)-3.1.2.3.1","最低限/標準","供給者からエビデンスを取得し、サプライチェーンセキュリティ要件への対応状況を確認した記録に関する資料や情報がある。","ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、定義した手配プロセスに従ってソフトウェアコンポーネントを手配すること、及び定義したサプライチェーンセキュリティ要件に従って必要なエビデンスを取得することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■手配プロセスを実施した記録\n・手配プロセスに基づいて手配を実施した記録\n・供給者が提示したエビデンス（例：セキュリティ慣行の遵守状況、出所情報の提出）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.1","S(2)-3.1.2","S(2)-3.1.2.3","評価項目３：定義したソフトウェアコンポーネントの手配プロセスを実施した記録が存在すること。","SP800-218：PO.1.3","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","―","○","○","○",null,"セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。"]
["S(2)-3.2.1.1.1","標準","提供先の組織が採用するサプライチェーンセキュリティ要件への対応、又はこれに準じることを合意事項とした資料や情報がある。","ドキュメント評価： ソフトウェアコンポーネント又はサービスを提供する側の事業者の場合、提供先のサプライチェーンセキュリティ要件又はこの要件に準じることを合意し対応することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n供給者は、提供先の組織が採用するサプライチェーンセキュリティ要件に適合していることの把握に努める必要がある。","■合意したサプライチェーンセキュリティ要件に関するドキュメント\n・合意したサプライチェーンセキュリティ要件（例：セキュアコーディングに関する要件、セキュリティチェックに関する要件、脆弱性対応に関する要件、提供形態・提供手段・検証手段に関する要件、SBOM提供に関する要件、サポート内容・期間・条件に関する要件）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.2","S(2)-3.2.1","S(2)-3.2.1.1","評価項目１：サプライチェーン・リスクを低減するためのサプライチェーンセキュリティ要件又はこの要件に準じることに合意した記録が存在すること。","SP800-218：PO.1.3、PW.4.4","IT製品又はサービスを提供する場合、提供先の組織が採用するサプライチェーンセキュリティ要件に対応又は準じていること。","―","○","○","○",null,"サプライチェーンセキュリティ要求への対応\t","提供するIT 製品又はサービスを受領・取得する組織が採用するサプライチェーンセキュリティ要件と同等のサプライチェーンセキュリティ要件に対応する。"]
["S(2)-3.3.1.1.1","標準","外部手配のソフトウェアコンポーネントが提示したセキュリティ要件を満たせない場合のリスク対処プロセスを定義した資料や情報がある。","ドキュメント評価： \nソフトウェアコンポーネントを外部手配する場合、満たせないセキュリティ要件がある場合のリスクへの対処プロセスを整備し、サプライチェーン・リスクを軽減することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nリスク対処プロセスには、要件に対して承認されたすべての例外の定期的なレビューを含む。\nリスク対処プロセスに従い、当該ソフトウェアコンポーネントを外部手配しないことを決定した場合、個別要求(2).1-2にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する等の代替策を策定する。","■ソフトウェアコンポーネントの外部手配におけるリスク対処プロセスの定義に関するドキュメント\n・ソフトウェアコンポーネントの外部手配に関するリスク対処方針及び手続き（例：承認された例外の定期的又は継続的なレビュー）\n・サプライチェーン・リスクを軽減するための取得戦略、取得方法に関する規定（例：購入用途を明確化しない、信頼できる配布先の選定、契約内容及び管理状態の良い供給者へのインセンティブ付与）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-3.3","S(2)-3.3.1","S(2)-3.3.1.1","評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスが満たせないセキュリティ要件がある場合のリスク対処プロセスを定義していること。","SP800-218：PO.1.3、PW.4.2","事業者が外部手配するソフトウェアコンポーネントとしてのIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクへの対処プロセスを整備していること。","―","○","○","○",null,"セキュリティ要件を満たさないリスクへの対処プロセスの整備","受領・取得するサードパーティ製のIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクに対処するプロセスを整備する。"]
["S(2)-4.1.1.1.1","最低限/標準","セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む管理者向けガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。","ドキュメント評価：\nソフトウェアをインストール・設定する際にセキュアな構成とするための方法（セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む）に関する管理者向けガイダンスを作成し、調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュアなデフォルト設定に関する管理者向けガイダンス\n・調達者に提供する管理者向けガイダンス（例：ソフトウェアのデフォルト設定、各設定の目的、デフォルト値、設定とセキュリティとの関連性、設定変更の影響、他の設定との関係）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.1","S(2)-4.1.1.1","評価項目１：実装したセキュアなデフォルト設定に関する管理者向けガイダンスを文書化し、調達者に提供していること。","SP800-218：PW.9.2","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","―","○","○",null,null,"セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"]
["S(2)-4.1.1.2.1","最低限/標準","ソフトウェアのセキュアな導入・設定（セキュアなデフォルト設定以外も含む）、操作、廃棄を含むガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。","ドキュメント評価：\nソフトウェアをインストール・設定する際にセキュアな構成とするための方法（セキュアなデフォルト設定以外）、ソフトウェアをセキュアに操作するための方法、及びソフトウェアを廃棄する際のセキュアな手続きなどに関する管理者及び利用者向けガイダンスを作成し、調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアのセキュアな導入・設定・操作・廃棄に関する管理者及び利用者向けガイダンス\n・調達者に提供する管理者向けガイダンス（例：セキュアな導入・設定（セキュアなデフォルト設定以外も含む））\n・調達者に提供する利用者向けガイダンス（例：ソフトウェアの操作、ソフトウェアの廃棄時（EOL/EOS時又は利用終了時）の対応）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.1","S(2)-4.1.1.2","評価項目２：ソフトウェアのセキュアな導入・設定・操作・廃棄に関するガイダンスを文書化し、調達者に提供していること。","SP800-218：PW.9.2","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","―","○","○",null,null,"セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"]
["S(2)-4.1.1.2.2","最低限/標準","ソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、継続的に更新したガイダンスを提供することを定めた資料や情報がある。","ドキュメント評価：\nソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、ソフトウェアのデフォルト設定、セキュアな導入・設定、操作、廃棄を含む管理者及び利用者向けガイダンスを更新し、更新したガイダンスを調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの管理者及び利用者向けガイダンスの提供の手続きに関するドキュメント\n\n・管理者及び利用者ガイダンスの更新を継続的に提供する手続き","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.1","S(2)-4.1.1.2","評価項目２：ソフトウェアのセキュアな導入・設定・操作・廃棄に関するガイダンスを文書化し、調達者に提供していること。","SP800-218：PW.9.2","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","―","○","○",null,null,"セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"]
["S(2)-4.1.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関して、製品・サービスの販売終了（EOS）/製品・サービスのライフサイクル終了（保守やサポートの終了、EOL）に関する情報を調達者に継続的に提供又は伝達することを定めた資料や情報がある。","ドキュメント評価： \nソフトウェアのサポート内容、及びEOS/EOLに関する情報を、継続的に調達者に提供又は伝達することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア及びシステム・サービスのサポート内容、及びサポート終了予定日を調達者に提供又は伝達することを定めたドキュメント\n・サポート内容及びEOS/EOL関連の情報の提供に関する方針\n・提供する情報の項目","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.2","S(2)-4.1.2.1","評価項目１：製品サポート内容・サポート終了予定日を調達者に継続的に伝達していること。","SP800-218：PW.9.2","ソフトウェア及びシステム・サービスの提供とともに、製品サポート内容、サポート終了予定日を調達者に継続的に伝達していること。","―","○","○",null,null,"セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"]
["S(2)-4.1.2.1.2","標準","ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を、調達者に継続的に提供又は伝達することを定めた資料や情報がある。","ドキュメント評価： \nソフトウェアのサポート内容、及び必要に応じて変更の影響や廃棄・提供終了・利用終了に関する情報を、継続的に調達者に提供又は伝達することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n変更の影響に関する情報とは、提供するソフトウェア及び/又はシステム・サービスの更新を行う場合に、受領側がその変更に応じて必要となる対応などの情報が考えられる。また廃棄に関する情報とは、ソフトウェア及び/又はシステム・サービスのEOS/EOLまでに受領側が実施すべき事項（関連するデータの退避・保存など）に関する情報が考えられる。","■ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を調達者に提供又は伝達することを定めたドキュメント\n・変更の影響・提供終了・利用終了に関する情報の提供に関する方針\n・提供する情報の項目","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.1","S(2)-4.1.2","S(2)-4.1.2.1","評価項目１：製品サポート内容・サポート終了予定日を調達者に継続的に伝達していること。","SP800-218：PW.9.2","ソフトウェア及びシステム・サービスの提供とともに、製品サポート内容、サポート終了予定日を調達者に継続的に伝達していること。","―","○","○",null,null,"セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"]
["S(2)-4.2.1.1.1","最低限/標準","ソフトウェアを配付する際、及び継続的に、ソフトウェアの整合性・完全性が確保されていることを検証するための情報を、ソフトウェア本体とは別の手段で、調達者に提供することを定めた資料や情報がある。","ドキュメント評価： \nソフトウェア配付における流通経路上の保護対策として、ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア配付における流通経路上の保護の対策に関するドキュメント\n・リリースファイルの整合性の保護対策の記述（例：リリースノートなどによるバージョン情報、情報提供方法、構成情報、履歴情報の提示）\n・リリースファイルの完全性の保護対策の記述（例：暗号化ハッシュ（ハッシュ値含む）、コード署名（署名検証情報含む））\n・サービスのなりすまし対策の記述（例：証明書）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.2","S(2)-4.2.1","S(2)-4.2.1.1","評価項目１：ソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。","SP800-218：PS.2.1","供給者から顧客への流通経路においてソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。","―","○","○",null,null,"整合性検証情報の提供","ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにする。"]
["S(2)-4.2.2.1.1","最低限/標準","ソフトウェアを供給者から顧客へセキュアに配付する配付システムの整備に関する資料や情報がある。","ドキュメント評価： \nソフトウェアの配付における通信経路上の保護対策として、ソフトウェアの配付をセキュアに行うメカニズムを具備した配付システムを整備し、顧客が安全に利用できるようにするために保護対策を講じることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの配付システムにおける保護の対策に関するドキュメント\n・セキュアな配布メカニズムを実現する配付システム（例：自動更新システム）\n・配付システムの保護対策（例：信頼できる認証局をコード署名に使用、コード署名プロセスの定期的又は継続的な見直し、その他の署名環境の保護対策）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(2)-4.2","S(2)-4.2.2","S(2)-4.2.2.1","評価項目１：ソフトウェアのセキュアな配付メカニズムを整備していること。","SP800-218：PS.2.1","ソフトウェアのセキュアな配付メカニズムを整備し、その保護対策を実施していること。","―","○","○",null,null,"整合性検証情報の提供","ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにする。"]
["S(3)-1.1.1.1.1","最低限/標準","脆弱性の開示と是正の基本方針に関する資料や情報がある。","ドキュメント評価：\nソフトウェアの脆弱性が発見された際に、その開示と是正を実施するための基本的な方針を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関する基本方針を定めたドキュメント\n・脆弱性の開示の方針\n・脆弱性の是正の方針","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.1","S(3)-1.1.1.1","評価項目１：脆弱性の開示と是正に関するポリシー文書が存在すること。","SP800-218：RV.1.3","脆弱性の開示と是正に対処するポリシーを整備していること。","―","○",null,"○",null,"脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"]
["S(3)-1.1.1.1.2","標準","脆弱性の開示と是正の基本方針に加えて、脆弱性対応プロセス改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いの各方針に関する資料や情報がある。","ドキュメント評価：\nソフトウェアの脆弱性が発見された際に、その開示と是正を実施するためのポリシー（方針）に、脆弱性対応プロセスの改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いに関する方針を含めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関するポリシー（方針）を定めたドキュメント\n・脆弱性対応プロセスの改善の方針\n・定期的な脆弱性対応訓練の方針\n・脆弱性報告の対話方針（例：受付、連絡方法）\n・報告情報の取扱いの方針（例：報告者保護（免責事項、機密保持等））","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.1","S(3)-1.1.1.1","評価項目１：脆弱性の開示と是正に関するポリシー文書が存在すること。","SP800-218：RV.1.3","脆弱性の開示と是正に対処するポリシーを整備していること。","―","○",null,"○",null,"脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"]
["S(3)-1.1.2.1.1","最低限/標準","脆弱性対応に関する担当者を任命していることがわかる資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための担当者を任命することについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関する体制を定義したドキュメント\n・担当部署、担当者が任命されていることを示す記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.1","評価項目１：脆弱性対応に関する対応体制を定義していること。","SP800-218：RV.1.3","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","―","○",null,"○",null,"脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"]
["S(3)-1.1.2.1.2","標準","脆弱性対応を専門とする組織体制を設置していることがわかる資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための体制を組織の規程や手順書等で定義し、整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関する体制を定義したドキュメント\n・専門体制の設置に関する規程（例：PSIRT）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.1","評価項目１：脆弱性対応に関する対応体制を定義していること。","SP800-218：RV.1.3","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","―","○",null,"○",null,"脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"]
["S(3)-1.1.2.2.1","最低限/標準","脆弱性対応に関わる担当者の役割と責務を定義している資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための役割と責務を組織の規程や手順書等で定義し、整備していることについて、責務として適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応における各部署・担当者の役割と責務を定めたドキュメント\n・全ての役割と責務の一覧","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.2","評価項目２：脆弱性対応に関する役割と責務を定義していること。","SP800-218：RV.1.3","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","―","○",null,"○",null,"脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"]
["S(3)-1.1.2.3.1","最低限/標準","脆弱性情報を入手してから対処するまでの一連のプロセスに関する資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するためのプロセスを組織の規程や手順書等で定義し、整備していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応の各段階の定義（例：情報の収集、分析、トリアージ、対策、情報の公開）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","SP800-218：RV.1.3","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","―","○",null,"○",null,"脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"]
["S(3)-1.1.2.3.2","標準","脆弱性対応の一連のプロセスにおける具体的な手順を定義している資料や情報がある。","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための一連のプロセスにおける具体的な手順書を定義し、整備していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応の各段階（例：情報の収集、分析、トリアージ、対策、情報の公開）における具体的な作業手順や判断基準","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","SP800-218：RV.1.3","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","―","○",null,"○",null,"脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"]
["S(3)-1.1.2.3.3","標準","脆弱性対応演習や脆弱性対応プロセスの見直しに関する資料がある。","ドキュメント評価：\n定義したポリシーの実効性を高めるため、脆弱性対応演習や脆弱性対応プロセスを見直す仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応演習に関する規定\n・脆弱性対応プロセスの見直しに関する規定","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","SP800-218：RV.1.3","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","―","○",null,"○",null,"脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"]
["S(3)-1.2.1.1.1","最低限/標準","脆弱性対応に関する一連のプロセスにおいて、利害関係者とのコミュニケーションに関する資料や情報がある。","ドキュメント評価：\n脆弱性対応に関するコミュニケーション計画を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n脆弱性の取扱に関するコミュニケーション計画には、誰が、誰に、何を、いつ、どのように連絡するかが含まれているかを確認する。","■脆弱性対応に関するコミュニケーション計画のドキュメント\n・コミュニケーションに関する計画（例：役割、対象、内容、タイミング、方法、連絡体制）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.1","評価項目１：脆弱性対応に関するコミュニケーション計画が存在すること。","SP800-218：RV.1.1, RV.1.3","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","―","○",null,"○",null,"コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。"]
["S(3)-1.2.1.1.2","標準","脆弱性の深刻度に応じた手順やサービスレベルを含む詳細なコミュニケーション計画に関する資料や情報がある。","ドキュメント評価：\n脆弱性対応に関する詳細なコミュニケーション計画を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nステークホルダーや脆弱性の深刻度等に応じた詳細なコミュニケーション計画が策定されていることを確認する。","■脆弱性対応に関するコミュニケーション計画のドキュメント\n・ステークホルダー別（例：脆弱性報告者、製品・サービスの利用者、サプライチェーンパートナー、監督官庁）のコミュニケーションに関する計画（例：役割、対象、内容、タイミング、方法、連絡体制）\n・脆弱性の深刻度（例：CVSSスコア）や影響範囲に応じて、コミュニケーションの対象、公開内容、公開タイミング等を定めた計画\n・関係者への一次応答時間、調査状況の定期的な連絡頻度など、コミュニケーションに関する具体的なサービスレベル","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.1","評価項目１：脆弱性対応に関するコミュニケーション計画が存在すること。","SP800-218：RV.1.1, RV.1.3","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","―","○",null,"○",null,"コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。"]
["S(3)-1.2.1.2.1","最低限/標準","外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付けるための連絡先を公開している。","ドキュメント評価：\n脆弱性対応に関するコミュニケーションの一環として、外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付ける際に必要な連絡先を公開することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織のウェブサイト等を実際に確認し、脆弱性報告の窓口が利用者にわかりやすく提供されているかを確認する。","■コミュニケーションチャネルのドキュメント\n・脆弱性報告窓口（窓口情報が記載されたウェブページ、ウェブフォーム、専用メールアドレス等）、及びその窓口情報を公開する記述（組織のウェブサイト、製品ドキュメント等）\n・セキュリティアドバイザリ、注意喚起情報（掲載されたウェブページ等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.2","評価項目２：コミュニケーションチャネルを整備していること。","SP800-218：RV.1.1, RV.1.3","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","―","○",null,"○",null,"コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。"]
["S(3)-1.2.1.2.2","標準","脆弱性情報やセキュリティ勧告を公開する手段を利用者向けに整備している。","ドキュメント評価：\n脆弱性の取扱に関するコミュニケーションの一環として、公開コミュニケーションチャネルを通じて、脆弱性情報やセキュリティ勧告を公開する手段を整備し、利用者が容易にアクセスできるような状態とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織のウェブサイト等を実際に確認し、脆弱性の情報公開の場が利用者にわかりやすく提供されているかを確認する。","■コミュニケーションチャネルのドキュメント\n・脆弱性報告窓口（窓口情報が記載されたウェブページ、ウェブフォーム、専用メールアドレス等）、及びその窓口情報を公開する記述（組織のウェブサイト、製品ドキュメント等）\n・セキュリティアドバイザリ、注意喚起情報（掲載されたウェブページ等）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.2","評価項目２：コミュニケーションチャネルを整備していること。","SP800-218：RV.1.1, RV.1.3","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","―","○",null,"○",null,"コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。"]
["S(3)-1.3.1.1.1","最低限/標準","公的もしくは外部サービスとして提供される公知脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関連する脆弱性情報を収集した資料や情報がある。","ドキュメント評価：\nJVNやNVD等の公開もしくは外部サービスとして提供される脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関する脆弱性情報を収集するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合、設計・開発段階における脆弱性情報の監視・収集など、そのフェーズで対応すべきドキュメントを評価する。","■脆弱性情報の監視・収集手続き及び結果のドキュメント\n・監視対象とする基本的な情報源のリスト（例：JVN、NVD）\n・収集した公知脆弱性の情報（例：脆弱性データベース、メーリングリスト、各種レポート）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.1","評価項目１：公知の脆弱性情報源及び脅威インテリジェンスの監視結果が存在すること。","SP800-218：RV.1.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","―","○",null,"○",null,"脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"]
["S(3)-1.3.1.1.2","標準","公知情報源に加え、外部の脅威インテリジェンスサービスや所属するISAC等、複数の情報源から情報を収集した資料や情報がある。","ドキュメント評価：\n外部の脅威インテリジェンスサービス等、複数の情報源から、ソフトウェア及びそのコンポーネントに関する脆弱性情報を継続的に収集するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合、設計・開発段階における脆弱性情報の監視・収集など、そのフェーズで対応すべきドキュメントを評価する。","■脆弱性情報の監視・収集手続き及び結果のドキュメント\n・監視対象とする情報源のリスト（例：利用している商用サービス名、加盟ISAC名など）\n・収集した脆弱性の情報（例：脅威インテリジェンスからのレポート等）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.1","評価項目１：公知の脆弱性情報源及び脅威インテリジェンスの監視結果が存在すること。","SP800-218：RV.1.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","―","○",null,"○",null,"脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"]
["S(3)-1.3.1.2.1","最低限/標準","ソフトウェアコンポーネントの供給元（サプライヤー）から脆弱性情報を受け取った記録がある。","ドキュメント評価：\nソフトウェア及びそのコンポーネントに関する脆弱性情報を、サプライチェーンやソフトウェア調達者等から受領するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合（この場合は、サプライチェーンからの脆弱性情報の通知はないと考えられる）、サプライヤーからの情報収集窓口等を整理した、事前に準備すべきドキュメントを評価する。","■サプライチェーンから脆弱性情報を受領した結果に関するドキュメント\n・サプライヤーのセキュリティ連絡先\n・（受領済の場合）サプライヤーからの脆弱性情報","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.2","評価項目２：サプライチェーンからの脆弱性情報を受領した結果が存在すること。","SP800-218：RV.1.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","―","○",null,"○",null,"脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"]
["S(3)-1.3.1.3.1","最低限/標準","脆弱性対応に関するコミュニケーション計画に則り、脆弱性報告窓口として公開したチャネルから脆弱性情報を収集した資料や情報がある。","ドキュメント評価：\nソフトウェア及びそのコンポーネントに関する脆弱性情報を、脆弱性報告窓口を通じて利害関係者から受領するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合（この場合は、脆弱性情報の通知はないと考えられる）、情報収集窓口等を整理した、事前に準備すべきドキュメントを評価する。","■脆弱性報告窓口から脆弱性情報を受領した結果に関するドキュメント\n・公開した脆弱性報告窓口から受領した脆弱性情報（ソフトウェア調達者及び利用者、外部のセキュリティ研究者等からの報告を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.3","評価項目３：ソフトウェア調達者及び利用者からの脆弱性情報を受領した結果が存在すること。","SP800-218：RV.1.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","―","○",null,"○",null,"脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"]
["S(3)-1.3.2.1.1","最低限/標準","ソフトウェアを構成するコンポーネント（特にライブラリなどのサードパーティ製コンポーネント）の名称とバージョンを含む一覧に関する資料や情報がある。","ドキュメント評価： \n脆弱性の分析に必要となる脆弱性情報を収集するため、ソフトウェアを構成するコンポーネントの基本的な情報を特定し、管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアを構成するコンポーネントのリストが存在することを確認する。","■潜在的脆弱性情報を収集すべき対象を整理したドキュメント\n・ソフトウェアを構成するコンポーネントの一覧（例：管理台帳、スプレッドシート）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.2","S(3)-1.3.2.1","評価項目１：収集対象のコンポーネントを特定していること。","SP800-218：RV.1.1","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","―","○",null,"○",null,"脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"]
["S(3)-1.3.2.1.2","標準","コンポーネント構成のトレーサビリティに関する情報の生成・更新プロセスを自動化または半自動化する環境を整備している場合、SBOMなどの標準的な形式の構成情報がある。","ドキュメント評価： \n脆弱性の分析に必要となる脆弱性情報を収集するため、ソフトウェアのコンポーネント構成のトレーサビリティに関する情報を正確かつ効率的に特定し、管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nSBOM等の標準形式を活用した構成管理の自動化・継続的な実施を確認する。","■潜在的脆弱性情報を収集すべき対象を整理したドキュメント\n・ソフトウェアを構成するコンポーネントの一覧（例：SBOMファイル（例：CycloneDX、SPDX形式））","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.2","S(3)-1.3.2.1","評価項目１：収集対象のコンポーネントを特定していること。","SP800-218：RV.1.1","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","―","○",null,"○",null,"脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"]
["S(3)-1.3.2.2.1","最低限/標準","コンポーネントの構成情報を利用した探索・分析に基づき、潜在的脆弱性の有無を確認した資料や情報がある。","ドキュメント評価： \nソフトウェアのコンポーネントの構成情報を用いて脆弱性情報の探索・分析を行い、ソフトウェアに対する潜在的な脆弱性の有無を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■潜在的脆弱性情報を収集した結果に関するドキュメント\n・特定したソフトウェアコンポーネントの構成情報の分析に基づいて収集した脆弱性情報","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.3","S(3)-1.3.2","S(3)-1.3.2.2","評価項目２：特定したコンポーネント分析から潜在的脆弱性情報を収集した結果が存在する。","SP800-218：RV.1.1","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","―","○",null,"○",null,"脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"]
["S(3)-1.4.1.1.1","最低限/標準","リリース後のソフトウェアのコンポーネント構成情報と、収集した公知脆弱性情報とを突合し、影響を受ける可能性のある脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。","ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある、今まで未検出であった潜在的な脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的又は定期的に脆弱性を特定・確認するために、公知脆弱性情報との突合を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n「継続的又は定期的」とは、開発・運用するソフトウェアのリスクレベルや特性に応じて、組織が定めた頻度（例：年次、四半期毎、リリース毎や新たな脅威や技術環境の変化のタイミングなど）での実施を指す。","■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・公知脆弱性情報に基づく潜在的脆弱性の特定に関する継続的又は定期的な活動のための手続\n・公知脆弱性情報に基づく潜在的脆弱性の特定に関する活動の記録（特定した対処すべき脆弱性の記述を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.4","S(3)-1.4.1","S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","―","○",null,"○",null,"未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。"]
["S(3)-1.4.1.1.2","標準","リリース後のソフトウェアのコンポーネント構成情報と収集した脆弱性情報を活用し、コードとコンポーネントに対するレビュー、分析、テストの複数の手法を用いた、潜在的脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。","ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある、今まで未検出であった潜在的な脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的又は定期的に脆弱性を特定・確認するための活動（静的テスト（コードレビュー、静的解析ツールの利用など）とドキュメントのレビューを組み合わせるなど、レビュー、分析、テストの複数の手法を用いた脆弱性を特定するための調査など）を、組織内で定義されたプロセスと整合した計画に基づき実施していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n「継続的又は定期的」とは、開発・運用するソフトウェアのリスクレベルや特性に応じて、組織が定めた頻度（例：年次、四半期毎、リリース毎や新たな脅威や技術環境の変化のタイミングなど）での実施を指す。","■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・レビュー、分析、テストに基づく潜在的脆弱性の特定に関する継続的又は定期的な活動のための手続\n・レビュー、分析、テストに基づく潜在的脆弱性の特定に関する活動の記録（特定した対処すべき脆弱性の記述を含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.4","S(3)-1.4.1","S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","―","○",null,"○",null,"未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。"]
["S(3)-1.4.1.1.3","標準","脆弱性を特定・確認するための活動の対象として、ソースコードだけでなく、設定ファイルや実行可能コードも考慮した記録がある。","ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的に脆弱性を特定・確認するための活動（レビュー、分析、テスト）において、対象として設定ファイルや実行可能コードも考慮していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・潜在的脆弱性の特定に関する活動の記録（対象として、設定ファイル、実行可能コードを含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-1.4","S(3)-1.4.1","S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","―","○",null,"○",null,"未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。"]
["S(3)-2.1.1.1.1","最低限/標準","収集し識別した脆弱性について、対象ソフトウェアへの影響を判断するために必要な情報を更に収集していることがわかる基本的な資料や情報がある。","ドキュメント評価：\n収集した脆弱性情報のうちリスクへの影響が懸念されるものとして識別した脆弱性について、その脆弱性がもたらすリスクを分析し、修正等の対応計画を検討するために、必要な情報を収集していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本項目は、脆弱性情報を広く監視する定常的な活動（S(3)-1.3で評価）とは異なり、特定の脆弱性に対する詳細な調査活動そのものを評価対象とする。","■各脆弱性への対応に必要な情報のドキュメント\n・収集し識別した脆弱性に関する情報（例：悪用方法、前提条件）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.1","S(3)-2.1.1","S(3)-2.1.1.1","評価項目１：収集し識別した脆弱性について、リスク分析や対応計画の検討に必要な情報が存在すること。","SP800-218：RV.2.1","各脆弱性を分析、是正またはその他のリスク対応計画を検討するための十分な情報を収集していること。","―","○",null,null,null,"脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。"]
["S(3)-2.1.2.1.1","最低限/標準","収集し特定された脆弱性情報、及びその影響を判断するために収集した情報を前提として、脆弱性の深刻度及び影響の定性的な評価に関する資料や情報がある。","ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、その脆弱性がもたらすリスクを評価するための分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、脆弱性が該当しないと考えられる）、当該段階において実施すべき手順など、現状あるべきドキュメントを評価する。","■脆弱性の影響分析のドキュメント\n・識別した脆弱性の深刻度及び影響を評価及び分析するための手続き\n・識別した脆弱性の悪用可能性の評価（影響）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.1","S(3)-2.1.2","S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","SP800-218：RV.2.1","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","―","○",null,null,null,"脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。"]
["S(3)-2.1.2.1.2","標準","CVSS等の標準的な評価基準を用いた深刻度に関する定量的な評価に関する資料や情報がある。","ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、その脆弱性がもたらすリスクを評価するための定量的な分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価者は、各脆弱性に関する分析結果が、客観的な根拠に基づいて記録されていることを確認する。","■脆弱性の影響分析のドキュメント\n・識別した脆弱性の悪用可能性の定量的評価（深刻度）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.1","S(3)-2.1.2","S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","SP800-218：RV.2.1","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","―","○",null,null,null,"脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。"]
["S(3)-2.1.2.1.3","標準","攻撃コードの有無や悪用実績などを考慮して脆弱性がもたらす使用環境における実際のリスクを分析した資料や情報がある。","ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、ソフトウェアの使用環境を踏まえてその脆弱性がもたらすリスク（例：導入済みの緩和策の考慮）を評価するための分析を、組織内で定められた手続きに従って実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性の影響分析のドキュメント\n・識別した脆弱性の悪用可能性の評価及び分析結果（例：脆弱性がもたらす使用環境における機密性、完全性、可用性への影響）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.1","S(3)-2.1.2","S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","SP800-218：RV.2.1","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","―","○",null,null,null,"脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。"]
["S(3)-2.2.1.1.1","最低限/標準","識別した脆弱性に対する対応方針及び優先順位付けに関する資料や情報がある。","ドキュメント評価：\n識別した脆弱性に対し、是正、軽減、リスク受容といった対応方針と優先度を決定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","■脆弱性の対処方針を示すドキュメント\n・脆弱性への対応方針（例：是正、軽減、リスク受容）及び優先順位付け","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.1","評価項目１：リスク分析・評価の結果に基づく脆弱性への対応方針が存在すること。","SP800-218：RV.2.2","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","―","○",null,null,null,"脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。"]
["S(3)-2.2.1.1.2","標準","脆弱性の深刻度（CVSS等）や事業への影響度等を考慮したリスク評価に基づく、対応方針の策定根拠に関する資料や情報がある。","ドキュメント評価：\n識別した脆弱性に対し、脆弱性の深刻度や事業への影響度等を考慮したリスク分析・評価を行い、その結果に基づいて、是正、軽減、リスク受容といった対応方針を決定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","■脆弱性の分析・評価に基づく対処方針を示すドキュメント\n・評価結果に基づく脆弱性への対応方針（是正、軽減、リスク受容等）及び優先順位付け\n・対応方針の策定根拠（例：対応、受容等の効果判定）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.1","評価項目１：リスク分析・評価の結果に基づく脆弱性への対応方針が存在すること。","SP800-218：RV.2.2","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","―","○",null,null,null,"脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。"]
["S(3)-2.2.1.2.1","最低限/標準","対応方針が決定された脆弱性について、対応計画に関する資料がある。","ドキュメント評価：\n識別した脆弱性に対し、対応計画を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","■脆弱性への対応計画に関するドキュメント\n・対応計画（例：担当者、対応方法、対応スケジュール）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.2","評価項目２：決定した対応方針に基づく対応計画が存在すること。","SP800-218：RV.2.2","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","―","○",null,null,null,"脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。"]
["S(3)-2.2.1.2.2","標準","対応の緊急度（例：緊急、高、中、低）に基づく具体的な対応計画に関する資料がある。","ドキュメント評価：\n識別した脆弱性に対し、対応方針に従って優先順位を付け、具体的な対応計画を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","■脆弱性への対応計画に関するドキュメント\n・対応計画（例：担当者、対応方法、対応スケジュール、緊急度に基づく対応期限）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.2","評価項目２：決定した対応方針に基づく対応計画が存在すること。","SP800-218：RV.2.2","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","―","○",null,null,null,"脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。"]
["S(3)-2.2.2.1.1","最低限/標準","識別した脆弱性に対して策定した対応計画に従ってリスク対応を実施したことを示す記録がある。","ドキュメント評価：\n策定した対応計画に従って、識別した脆弱性へのリスク対応アクションを実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nリスク受容など具体的な対応を実施しない場合は、評価を割愛できる。","■リスク対応の実施結果のドキュメント\n・リスク対応の実施結果（例：パッチ準備、対応内容を含むリリースノート、変更履歴、設定変更の通知準備）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.2","S(3)-2.2.2.1","評価項目１：識別した脆弱性に対するリスク対応を実施していること。","SP800-218：RV.2.2","決定した対応アクションを実施していること。","―","○",null,null,null,"脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。"]
["S(3)-2.2.2.2.1","最低限/標準","脆弱性対応の実装後に、その対応内容を確認するためのテスト又は検証を実施した結果に関する資料や情報がある。","ドキュメント評価：\n策定した対応計画に従って、識別した脆弱性へのリスク対応アクションとして何らかの実装が行われた場合、その実装が意図通りに残存する脆弱性を解消し、かつ他の悪影響を生まないことを確認したテスト・検証活動を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n実装を伴わない場合には、評価を割愛できる。","■実装後のテスト結果のドキュメント\n・脆弱性対応の実装に関するテスト計画、テスト結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.2","S(3)-2.2.2","S(3)-2.2.2.2","評価項目２：脆弱性対応の実装後のテスト・検証結果が文書化されていること。","SP800-218：RV.2.2","決定した対応アクションを実施していること。","―","○",null,null,null,"脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。"]
["S(3)-2.3.1.1.1","最低限/標準","脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告に関する資料や情報がある。","ドキュメント評価： \n開発者として、識別し対応内容を検証済みとした脆弱性に関するセキュリティ勧告を作成していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、勧告が発行されていない場合であっても、勧告の発行と提供に関する手続きが文書で定められていることを確認する。","■セキュリティ勧告に関するドキュメント\n・発行済みのセキュリティ勧告（脆弱性の内容、影響を受ける製品やバージョン、深刻度、考えられる影響、対処方法（例：パッチの入手先、パッチ適用方法、変更すべき構成設定、暫定的な回避策）を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.1","S(3)-2.3.1.1","評価項目１：セキュリティ勧告が存在すること。","SP800-218：RV.2.2","開発者は、脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告を作成し、ソフトウェアの供給先に提供していること。","―","○","○","○",null,"セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"]
["S(3)-2.3.1.2.1","最低限/標準","ソフトウェアの供給先へセキュリティ勧告を提供するための手続があり、それに従って提供した記録がある。","ドキュメント評価： \n開発者として、識別し対応内容を検証済みとした脆弱性に関するセキュリティ勧告をソフトウェアの供給先に提供するプロセスを確立し、運用していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ勧告の提供プロセスに関するドキュメント\n・セキュリティ勧告の発行に関する手続き（実施手順（例：ウェブサイトの公開、メール通知）、発行基準など）\n・セキュリティ勧告の公開記録（例：ウェブサイトの公開履歴のスクリーンショット、メールの送信ログ、ポータルサイトへの掲載記録など、提供の事実を示す記録）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.1","S(3)-2.3.1.2","評価項目２：セキュリティ勧告を供給先に提供するプロセスに従って提供していること。","SP800-218：RV.2.2","開発者は、脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告を作成し、ソフトウェアの供給先に提供していること。","―","○","○","○",null,"セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"]
["S(3)-2.3.2.1.1","最低限/標準","脆弱性届出制度から情報提供を受けた際の対応について、情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続きに基づく対応手順に関する資料や情報がある。","ドキュメント評価： \n脆弱性届出制度に基づいて脆弱性情報の提供を受けた際の対応手順が、情報セキュリティ早期警戒パートナーシップガイドラインに準拠して定義され、その手順に従って実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続き）に準拠した対応手順が文書で定められていることを確認する。","■脆弱性の対処に関するドキュメント\n・情報セキュリティ早期警戒パートナーシップガイドラインに準拠した脆弱性対応に関する手順の記述\n・脆弱性届出制度から情報提供を受けた際の対応の記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.2","S(3)-2.3.2.1","評価項目１：脆弱性届出制度から情報提供を受けた際の対応手順が存在すること。","SP800-218：RV.1.3","脆弱性届出制度に基づいて情報提供を受けた脆弱性については、情報セキュリティ早期警戒パートナーシップガイドラインを踏まえた対応を行っていること。","―","○","○","○",null,"セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"]
["S(3)-2.3.3.1.1","最低限/標準","開発者や供給者等から発行されたセキュリティ勧告を受領し、影響評価を行った資料や記録がある。","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告を受領し、その勧告に従う場合の影響を評価していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（セキュリティ勧告に基づく影響評価）に準拠した対応手順が文書で定められていることを確認する。","■セキュリティ勧告の影響評価に関するドキュメント\n・セキュリティ勧告の影響評価結果（例：ソフトウェアの利用、関連システムの運用、組織への影響）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.1","評価項目１：セキュリティ勧告の影響評価の結果が存在すること。","SP800-218：RV.2.2","運用者は、セキュリティ勧告にしたがった対策を実施していること。","―",null,null,"○",null,"セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"]
["S(3)-2.3.3.1.2","標準","代替策の実施やリスク受容等を承認する根拠となる資料や情報がある。","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告の評価に基づき、対策を実施しない（リスク受容）判断を行った場合、根拠に基づき代替策を承認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（セキュリティ勧告に従わない場合の対応、及びその承認に関する手続き）に準拠した対応手順が文書で定められていることを確認する。","■セキュリティ勧告の影響評価に関するドキュメント\n・セキュリティ勧告に従った対応策以外の代替策の根拠情報","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.1","評価項目１：セキュリティ勧告の影響評価の結果が存在すること。","SP800-218：RV.2.2","運用者は、セキュリティ勧告にしたがった対策を実施していること。","―",null,null,"○",null,"セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"]
["S(3)-2.3.3.2.1","最低限/標準","セキュリティ勧告の影響評価の結果に基づく、対策（例：パッチの配備、設定変更）の計画の資料や情報がある。","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告に関する影響評価の結果に基づき、対策（パッチの配備等）を計画・実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ勧告への対応計画に関するドキュメント\n・セキュリティ対策の達成手段（例：パッチ、設定変更、代替策の実施）の実施計画","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.2","評価項目２：評価結果に基づく対策の計画と実施結果が存在すること。","SP800-218：RV.2.2","運用者は、セキュリティ勧告にしたがった対策を実施していること。","―",null,null,"○",null,"セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"]
["S(3)-2.3.3.2.2","標準","運用者として対策を適用する前に、事前検証を実施した記録がある。","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告に基づく対策（パッチの配備等）を実施する前に、事前検証を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対策の実施だけでなく、対策を実施しない（リスク受容）判断についてもその承認に十分な根拠情報を確認する。","■セキュリティ勧告への対応時の事前検証に関するドキュメント\n・セキュリティ対策の検証結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.2","評価項目２：評価結果に基づく対策の計画と実施結果が存在すること。","SP800-218：RV.2.2","運用者は、セキュリティ勧告にしたがった対策を実施していること。","―",null,null,"○",null,"セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"]
["S(3)-3.1.1.1.1","標準","発見された脆弱性に対して、根本原因を分析・特定した資料や情報がある。","ドキュメント評価：\n発見された脆弱性に対して、その直接的な原因の修正に留まらず、なぜその脆弱性が作り込まれたのかという根本原因を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■根本原因の分析結果に関するドキュメント\n・根本原因の分析結果（特定した根本原因を含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.1","S(3)-3.1.1","S(3)-3.1.1.1","評価項目１：脆弱性の根本原因を分析・特定した結果が存在すること。","SP800-218：RV.3.1, RV.3.2","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","―","○",null,"○",null,"根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。"]
["S(3)-3.1.1.1.2","標準","根本原因を長期にわたり分析するための情報収集の手続きに関する資料や情報がある。","ドキュメント評価：\n発見された脆弱性に対して、その直接的な原因の修正に留まらず、なぜその脆弱性が作り込まれたのかという根本原因を特定するための情報収集を長期にわたり実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■根本原因の分析結果に関するドキュメント\n・根本原因を長期にわたり分析するための情報収集の手段と手続き（根本原因の発生を自動的又は半自動的に検出する仕組み、一連のプラクティスのパターンに着目した情報収集など）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.1","S(3)-3.1.1","S(3)-3.1.1.1","評価項目１：脆弱性の根本原因を分析・特定した結果が存在すること。","SP800-218：RV.3.1, RV.3.2","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","―","○",null,"○",null,"根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。"]
["S(3)-3.1.1.2.1","標準","過去に検出された脆弱性の根本原因分析の結果に基づき、同種の脆弱性を組織内の他のソフトウェアから探索・特定し、同種の脆弱性を排除するための活動を計画・実施した資料や情報がある。","ドキュメント評価：\n発見された複数の脆弱性から共通する組織的な弱点や傾向を特定し、同種の脆弱性が組織内の他のソフトウェアに存在しないかを探索し、その脆弱性の発生頻度を低減する活動（水平展開）を計画・実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性の発生頻度低減活動に関するドキュメント\n・類似脆弱性の探索・特定のための活動計画（例：レビューチェックリスト、テストケース）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.1","S(3)-3.1.1","S(3)-3.1.1.2","評価項目２：脆弱性の発生頻度低減を目的とした活動の計画と実施記録が存在すること。","SP800-218：RV.3.1, RV.3.2","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","―","○",null,"○",null,"根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。"]
["S(3)-3.2.1.1.1","標準","根本原因分析に基づき、プロセスや慣行を見直し、更新したプロセスを定義した資料や情報がある。","ドキュメント評価：\n特定された脆弱性の根本原因が、今後の開発・運用プロセスにおいて再発することを防ぐために、プロセス自体の見直しと改善を適切に計画、実装していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n根本原因の分析結果を起点として、プロセス改善の計画策定、規程類への反映という一連の流れが、文書間で追跡可能であることを確認する。","■更新したプロセスを定義したドキュメント\n・改訂された手順書（例：開発標準、コーディング規約、テスト手順書、運用手順書）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.2","S(3)-3.2.1","S(3)-3.2.1.1","評価項目１：更新したプロセスを定義していること。","SP800-218：RV.3.4","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","―","○",null,"○",null,"プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。"]
["S(3)-3.2.1.2.1","標準","改訂されたプロセスや慣行を、開発者や運用者等の関係者に周知した記録がある。","ドキュメント評価：\n特定された脆弱性の根本原因が、今後の開発・運用プロセスにおいて再発することを防ぐために、見直しと改善を実施したプロセス自体を、開発者や運用者等の関係者に展開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■再発防止策の実装と展開の状況に関する記録\n・関係者への周知記録（通知メール、回覧記録等）\n・教育・研修の実施記録（例：研修資料、受講者リスト、理解度テスト結果）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.2","S(3)-3.2.1","S(3)-3.2.1.2","評価項目２：再発防止策の実装に関する記録が存在すること。","SP800-218：RV.3.4","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","―","○",null,"○",null,"プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。"]
["S(3)-3.2.1.2.2","標準","特定した脆弱性の根本原因が再発していないかを継続的に監視している記録がある。","ドキュメント評価：\n特定した脆弱性の根本原因が、開発・運用プロセスにおいて再発していないか監視していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■再発防止策の実装と展開の状況に関する記録\n・リリース後に、特定した既知脆弱性の根本原因が再発していないことの監視記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(3)-3.2","S(3)-3.2.1","S(3)-3.2.1.2","評価項目２：再発防止策の実装に関する記録が存在すること。","SP800-218：RV.3.4","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","―","○",null,"○",null,"プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。"]
["S(4)-1.1.1.1.1","標準","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義した資料がある。","ドキュメント評価： \nソフトウェア開発ライフサイクル関連の役割と責務を網羅的に定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の定義前と考えられる）、当該段階において割り当てられているべき役割と責務に関する策定済の定義など、現状あるべきドキュメントを評価する。","■ソフトウェア開発・供給・運用関連の全ての役割と責務を定義したドキュメント\n・ソフトウェア開発・供給・運用に関わる人員の全ての役割と責務の一覧（例：セキュリティ管理、リスク管理、サプライチェーン管理に係るすべての役割と責任）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.1","S(4)-1.1.1","S(4)-1.1.1.1","評価項目１：ソフトウェア開発ライフサイクルの全ての役割と責務が定義されていること。","SP800-218：PO.2.1","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義し、ソフトウェア開発・供給・運用の全要員に対して割り当てていること。","―","○","○","○",null,"役割と責務の定義","ソフトウェア開発ライフサイクルを網羅する役割と責務を定義する。"]
["S(4)-1.1.1.2.1","標準","ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていることを示す資料や情報がある。","ドキュメント評価： \nソフトウェア開発ライフサイクル関連の役割と責務をソフトウェア開発・供給・運用の全要員に対して割り当てていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の全要員への割り当ての実施前と考えられる）、当該段階において割り当てられているべき役割と責務に関する策定済の定義など、現状あるべきドキュメントを評価する。","■ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務の割り当てを示すドキュメント\n・全要員への役割と責務の割り当ての一覧","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.1","S(4)-1.1.1","S(4)-1.1.1.2","評価項目２：ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていること。","SP800-218：PO.2.1","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義し、ソフトウェア開発・供給・運用の全要員に対して割り当てていること。","―","○","○","○",null,"役割と責務の定義","ソフトウェア開発ライフサイクルを網羅する役割と責務を定義する。"]
["S(4)-1.2.1.1.1","最低限/標準","セキュアな開発・運用について、経営層に報告、あるいは理解を促進するための活動を実施した資料や情報がある。","ドキュメント評価： \nインタビュー評価： \nSDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減を経営層が、理解していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメント及び、経営層へのインタビュー等をエビデンスとして評価する。","■セキュアな開発・運用に対する経営層の関与を示すドキュメント\n・経営層（例：経営トップ、上級マネジメント、承認権限者）へのリスク及び、リスク軽減に関する報告（リスク分析結果やセキュア開発の取組方針の説明）\n・経営層での報告や議論、説明会の記録（例：会議録）\n■経営層へのインタビュー\n・SDLCにセキュリティを組み込まないことによるリスク（例：脆弱性の残存などによるビジネス損失）とセキュア開発によるリスク軽減（例：脆弱性の早期発見などによるビジネス損失の防止）に関する経営層の認識","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.2","S(4)-1.2.1","S(4)-1.2.1.1","評価項目１：経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュア開発によるリスク軽減への認識を高める活動を実施した記録が存在すること。","SP800-218：PO.2.3","経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減への認識が高めていること。その上で、セキュア開発に対する経営層のコミットメントを得ていること。","―","○","○","○",null,"経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。"]
["S(4)-1.2.1.2.1","最低限/標準","セキュアな開発・運用の必要性を可視化しその推進方針等を、経営層が承認した資料や情報がある。","ドキュメント評価：\n組織としてセキュアな開発・運用に取り組むことを経営層が推進方針としていることを、責務として認識し実施していることについて「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。","■セキュアな開発・運用に対する経営層のコミットメントに関するドキュメント\n・セキュアな開発・運用に対する組織としての推進方針（例：社内通達での経営メッセージ、組織としてのセキュリティポリシー）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.2","S(4)-1.2.1","S(4)-1.2.1.2","評価項目２：セキュア開発に対して経営層がコミットしていること。","SP800-218：PO.2.3","経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減への認識が高めていること。その上で、セキュア開発に対する経営層のコミットメントを得ていること。","―","○","○","○",null,"経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。"]
["S(4)-1.2.2.1.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュアな開発・運用の推進方針を周知した記録がある。","ドキュメント評価： \nセキュアな開発・運用に対する経営層のコミットメントがソフトウェア開発・供給・運用の関連役割を持つ全担当者に届く仕組みを提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。","■セキュアな開発・運用に対する経営層のコミットメントの周知に関する記録\n・ソフトウェア開発・供給・運用の関連役割を持つ全担当者への、経営層（例：経営トップ、上級マネジメント、承認権限者）のセキュアな開発・運用への推進方針の周知記録（例：社内通達）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.2","S(4)-1.2.2","S(4)-1.2.2.1","評価項目１：セキュアな開発・運用へのコミットメントを周知していること。","SP800-218：PO.2.3","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュア開発・運用に関するコミットメントを周知し、組織にとってのセキュア開発・運用の重要性を教育していること。","―","○","○","○",null,"経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。"]
["S(4)-1.2.2.2.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に対する、組織にとってのセキュアな開発・運用の重要性に関する教育の資料や情報がある。","ドキュメント評価： \nソフトウェア開発・供給・運用の関連役割を持つ全担当者に対して、セキュアな開発・運用の重要性を理解させるための仕組みを提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。","■セキュアな開発・運用に関わる教育のドキュメント\n・ソフトウェア開発供給運用の関連役割を持つ全担当者向けのセキュア開発に関する教育（例：教育計画、教育プログラム）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.2","S(4)-1.2.2","S(4)-1.2.2.2","評価項目２：組織にとってのセキュア開発の重要性を教育していること。","SP800-218：PO.2.3","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュア開発・運用に関するコミットメントを周知し、組織にとってのセキュア開発・運用の重要性を教育していること。","―","○","○","○",null,"経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。"]
["S(4)-1.3.1.1.1","標準","セキュアな開発・運用の役割と責務について各要員が理解したことを示す資料や情報が存在すること。","ドキュメント評価：\nセキュアな開発・運用の役割と責務を各要員が理解していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の定義の実施前と考えられる）、役割と責務の理解促進の手続きなど、現状あるべきドキュメントを評価する。","■役割と責務について各要員の理解を示すドキュメント\n・セキュアな開発・運用の役割と責務の理解を促進する手続きに関する記録（例：役割と責務の一覧とトレーニング計画とその記録）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.3","S(4)-1.3.1","S(4)-1.3.1.1","評価項目１：役割と責務について各要員が理解していることを示す記録が存在すること。","SP800-218：PO.2.1","セキュアな開発・運用の役割と責務について各要員が理解し、同意しているか確認していること。","―","○","○","○",null,"役割と責務の同意","各要員が、役割と責務を認識・同意していることを確認する。"]
["S(4)-1.3.1.2.1","標準","セキュアな開発・運用の役割と責務について各要員が同意することを確認した資料や情報がある。","ドキュメント評価：\nインタビュー評価：\nセキュアな開発・運用の役割と責務について各要員が従うことに同意しているか確認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントやインタビューをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全要員への役割と責務の割り当ての実施前と考えられる）、役割と責務の同意の手続きなど、現状あるべきドキュメントを評価し、現要員の認識についてインタビューや関連するドキュメントを評価する。","■役割と責務についての同意取得に関するドキュメント\n・役割と責務について同意していることを示す記録（例：全要員の誓約書）\n\n■役割と責務についての同意取得に関するインタビュー\n・役割と責務について同意していることの認識（例：主要な役割の担当をサンプリング）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.3","S(4)-1.3.1","S(4)-1.3.1.2","評価項目２：各要員が役割と責務について同意していることを確認した記録が存在すること。","SP800-218：PO.2.1","セキュアな開発・運用の役割と責務について各要員が理解し、同意しているか確認していること。","―","○","○","○",null,"役割と責務の同意","各要員が、役割と責務を認識・同意していることを確認する。"]
["S(4)-1.4.1.1.1","標準","セキュアな開発・運用に関する習熟度に応じたトレーニングの目標が定義され、その測定方法、トレーニングカリキュラムに関する資料や情報がある。","ドキュメント評価：\nセキュアな開発・運用に関する各役割の習熟度に応じたトレーニングの目標に基づき、トレーニングを設計し、その効果を測定する仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■トレーニング計画のドキュメント\n・トレーニングの成果測定のプロセス（測定方法（例：理解度テスト、受講後アンケート等）、判断方法、基準等）\n・各役割のトレーニング目標とその達成に必要なトレーニングカリキュラム","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.4","S(4)-1.4.1","S(4)-1.4.1.1","評価項目１：トレーニング計画が存在すること。","SP800-218：PO.2.2","セキュアな開発・運用のトレーニング計画に、習熟度と役割に応じた目標と成果の測定プロセス、各役割の望ましい結果達成に必要なトレーニングの種類やカリキュラムを含めていること。","―","○","○","○",null,"各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。"]
["S(4)-1.4.2.1.1","標準","セキュアな開発・運用に関するトレーニング計画を実現するためのトレーニングを受講できるように提供している資料や情報があること。","ドキュメント評価： \n全要員に習熟度と役割に応じたセキュアな開発・運用に関するトレーニング環境を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■トレーニングのコンテンツに関するドキュメント\n・教育コンテンツ（例：セキュアなソフトウェア開発手法、セキュアコーディング標準、役割固有のベストプラクティス、AI サポートによる自動化支援（品質向上）の手法）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.4","S(4)-1.4.2","S(4)-1.4.2.1","評価項目１：トレーニングコンテンツが存在すること。","SP800-218：PO.2.2","全要員に習熟度と役割に応じてトレーニングを提供していること。","―","○","○","○",null,"各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。"]
["S(4)-1.4.2.2.1","標準","セキュアな開発・運用に関するトレーニング計画に基づき、全要員が習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを受講したことに関する記録がある。","ドキュメント評価： \n全要員に対して習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n全要員へのトレーニングが完了していない段階では、トレーニングの実施計画や未受講者への督促記録など、現状あるべきドキュメントを評価する。","■トレーニングを実施した記録\n・習熟度と役割に応じた全要員のトレーニング記録（例：受講履歴）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.4","S(4)-1.4.2","S(4)-1.4.2.2","評価項目２：トレーニングを提供した記録が存在すること。","SP800-218：PO.2.2","全要員に習熟度と役割に応じてトレーニングを提供していること。","―","○","○","○",null,"各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。"]
["S(4)-1.5.1.1.1","標準","セキュアな開発運用に関わる定期的又は継続的な役割の見直し手続きが定義された資料や情報がある。","ドキュメント評価： \nセキュアな開発・運用の全ての役割を、定期的又は継続的に見直す仕組みを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■役割に関するレビュー計画のドキュメント\n・役割の見直しに関するレビュー計画\n・役割の見直し（例：新しい役割の設定、既存の役割の変更）に関する手続き","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.5","S(4)-1.5.1","S(4)-1.5.1.1","評価項目１：新しい役割作成、既存役割の見直しに関する手続きが存在すること。","SP800-218：PO.2.1","全ての役割について環境変化のタイミング、及び定期的にレビューを実施し、新しい役割作成、既存の役割の変更・維持を行っていること。","―","○","○","○",null,"役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。"]
["S(4)-1.5.1.2.1","標準","レビューに基づく、セキュアな開発・運用に関わる新しい役割の設定や既存の役割の変更に関する記録がある。","ドキュメント評価： \nセキュアな開発・運用の全ての役割を、定期的又は継続的に見直す仕組みが機能することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のプロジェクトの初期段階である場合（この場合は、全ての役割の見直し前と考えられる）、記録の確認は省略することができる。","■役割に関するレビューの結果のドキュメント\n・セキュアな開発・運用に関する全ての役割の更新記録\n・セキュアな開発・運用の全ての役割に関するレビュー結果（例：定期的なレビュー会議の記録、開発体制の見直しや新たな技術の導入、重大インシデントの発生などに伴うレビュー記録）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.5","S(4)-1.5.1","S(4)-1.5.1.2","評価項目２：新しい役割作成、既存役割の見直した記録が存在すること。","SP800-218：PO.2.1","全ての役割について環境変化のタイミング、及び定期的にレビューを実施し、新しい役割作成、既存の役割の変更・維持を行っていること。","―","○","○","○",null,"役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。"]
["S(4)-1.5.2.1.1","標準","トレーニング効果の測定結果の分析に基づき、セキュアな開発・運用に関わるトレーニングプログラムを更新した記録がある。","ドキュメント評価： \n要員の習熟度と役割ベースのトレーニングの効果測定に基づき、セキュアな開発・運用に関わるトレーニングを改善することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■トレーニングプログラムに関する更新の記録\n・トレーニングプログラムの更新プロセス（例：トレーニングの更新タイミング、更新計画の策定手順）\n・トレーニングパフォーマンスの測定結果の分析に基づくトレーニングカリキュラムの変更内容","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-1.5","S(4)-1.5.2","S(4)-1.5.2.1","評価項目１：トレーニングプログラムを更新した記録が存在すること。","SP800-218：PO.2.2、PO.3","トレーニング効果を測定し、トレーニングの変更が有益となる可能性のある領域を特定した上で、要員の習熟度と役割ベースのトレーニングを、必要に応じて更新していること。","―","○","○","○",null,"役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。"]
["S(4)-2.1.1.1.1","最低限/標準","ソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","ドキュメント評価：\nセキュア開発の土台となるソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関する基本的なセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.1","S(4)-2.1.1","S(4)-2.1.1.1","評価項目１：ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わるセキュリティ要件を特定した方針が存在すること。","SP800-218：PO.1.1、PO.3.2","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","―","○",null,null,null,"ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-2.1.1.1.2","標準","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","ドキュメント評価：\nSDLC全体を通じたセキュア開発の土台となるソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わる全てのセキュリティ要件をリスクベースで特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関する全てのセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.1","S(4)-2.1.1","S(4)-2.1.1.1","評価項目１：ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わるセキュリティ要件を特定した方針が存在すること。","SP800-218：PO.1.1、PO.3.2","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","―","○",null,null,null,"ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-2.1.2.1.1","最低限/標準","ソフトウェア開発の観点から、事業に関連する主要な法規制をリストした資料や情報がある。","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる社内ポリシーが満たすべき、主要な法的要件からの要求事項を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件の整理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.1","S(4)-2.1.2","S(4)-2.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","―","○",null,null,null,"ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-2.1.2.1.2","標準","ソフトウェア開発の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる社内ポリシーが満たすべき、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準といった外部からの要求事項を整理・追跡していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件の管理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）・業界標準（例：Shifting the Balance of Cybersecurity Risk, FISC安全対策基準）・業界のベストプラクティスに関するリスト\n・外部要件の改訂等を監視・収集する手順","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.1","S(4)-2.1.2","S(4)-2.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","―","○",null,null,null,"ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-2.2.1.1.1","最低限/標準","開発するソフトウェアに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、基本的なソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発ソフトウェアに適用するセキュリティ要件を定めたドキュメント\n・開発ソフトウェアに関する基本的なセキュリティ要件\n例：セキュアバイデザインの考慮、ソフトウェアの寿命（EOL/EOS）に関する基本的な考え方、基本的なアーキテクチャ、設計レベルのセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.1","評価項目１：開発ソフトウェアに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","SP800-218：PO.1.1、PO.1.2","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―","○",null,null,null,"ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。"]
["S(4)-2.2.1.1.2","標準","開発するソフトウェアに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、SDLC全体にわたるセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n一律のセキュリティ要件を定義する代わりに、リスクベースでの分析を行い、具体的なアーキテクチャや設計、ライフサイクル管理の要件を規定してもよい。\nなお、本評価では、組織共通のセキュリティ要件定義を特定しており、(1)-1では、個別プロジェクトのセキュリティ要件を定義する。","■開発ソフトウェアに適用するセキュリティ要件を定めたドキュメント\n・開発ソフトウェアに関するSDLC全体にわたるセキュリティ要件\n例：扱うデータの機微度、公開範囲等に応じたアーキテクチャ、設計、実装レベルの要件、、ライフサイクルのチェックポイントにおける検証フロー要件","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.1","評価項目１：開発ソフトウェアに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","SP800-218：PO.1.1、PO.1.2","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―","○",null,null,null,"ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。"]
["S(4)-2.2.1.2.1","最低限/標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、ソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を規定したポリシーを見直ししていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■レビューの記録\n・ソフトウェアに適用するセキュリティ要件を規定したポリシーの見直し履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","SP800-218：PO.1.1、PO.1.2","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―","○",null,null,null,"ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。"]
["S(4)-2.2.1.2.2","標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーについて定期的又は継続的にレビューを実施した記録がある。","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、ソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を維持するために、外部環境等の変化に対応して定期的又は継続的に規定したポリシーを更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nSDLC全体にわたってセキュリティ要件をレビューすることに注意する。","■レビューの記録\n・ソフトウェアに適用するセキュリティ要件を規定したポリシーの定期的又は継続的な見直し履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","SP800-218：PO.1.1、PO.1.2","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―","○",null,null,null,"ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。"]
["S(4)-2.3.1.1.1","最低限/標準","ソフトウェア開発に関わるセキュリティ活動のための予算が承認されていることを示す記録がある。","ドキュメント評価：\nセキュア開発を支えるため、経営層が、セキュリティ対策の必要性、コスト、影響を理解した上で、適切な予算を確保することを責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■予算の実行状況に関する記録\n・セキュア開発活動に関する、もしくはセキュア開発活動を含む予算の承認記録（例：計画書、稟議書、予算執行実績）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.3","S(4)-2.3.1","S(4)-2.3.1.2",null,null,"経営層が、セキュア開発によるリスク軽減とコスト、影響を理解し、適切な予算を確保していること。","―","○",null,null,null,"費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。"]
["S(4)-2.3.1.1.2","標準","セキュリティ対策の必要性、コスト、影響を踏まえたセキュア開発方針に関する予算が承認されていることを示す記録がある。","ドキュメント評価：\nセキュア開発を支えるため、経営層が、セキュリティ対策の必要性、コスト、影響を理解した上で、セキュア開発方針に関する予算を確保することを責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。なお、計画・見込み等により考慮されていることを評価する。","■予算の実行状況に関する記録\n・セキュア開発活動に関する、もしくはセキュア開発活動を含む予算の承認記録（例：計画書、稟議書、予算執行実績）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.3","S(4)-2.3.1","S(4)-2.3.1.2",null,null,"経営層が、セキュア開発によるリスク軽減とコスト、影響を理解し、適切な予算を確保していること。","―","○",null,null,null,"費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。"]
["S(4)-2.3.2.1.1","最低限/標準","経営層やプロジェクト責任者が、脆弱性の放置が将来のコスト増に繋がることをリスクとして認識していることを示す資料や情報がある。","インタビュー評価：\nドキュメント評価：\n経営者やプロジェクト責任者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債（サイバー攻撃による損害など）につながることを共通の経営リスクとして認識することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n特に経営層の認識については、関係者へのインタビューの他、要員の認識向上の取組を示す教育記録等の評価方法を採用することも考えられる。","■経営層等へのインタビュー\n・経営層、プロジェクト責任者の脆弱性放置に関するリスク認識（インタビュー、もしくはその記録等）\n\n■経営層のリスク認識を反映したドキュメント\n・経営層での報告や議論の記録（例：会議録）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.3","S(4)-2.3.2","S(4)-2.3.2.1","評価項目１：脆弱性の放置リスクの概念が組織内で理解・共有されていること。","SP800-218：PO.2.3、NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1","経営層を含む関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債につながることを共通の経営リスクとして認識していること。","―","○",null,null,null,"費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。"]
["S(4)-2.3.2.1.2","標準","脆弱性放置のリスクに関する、全社的なセキュリティ教育や開発者向けトレーニング等の啓発活動の資料や情報がある。","ドキュメント評価：\n経営者を含む全ての関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債（サイバー攻撃による損害など）につながることを共通の経営リスクとして認識することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■全社員の認識に関するドキュメント\n・脆弱性放置がもたらすリスクに関する教育記録、教育プログラム","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-2.3","S(4)-2.3.2","S(4)-2.3.2.1","評価項目１：脆弱性の放置リスクの概念が組織内で理解・共有されていること。","SP800-218：PO.2.3、NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1","経営層を含む関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債につながることを共通の経営リスクとして認識していること。","―","○",null,null,null,"費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。"]
["S(4)-3.1.1.1.1","最低限/標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","ドキュメント評価：\nセキュアなソフトウェアサービス運用の土台となるサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nなお、S(4)-2が開発フェーズに焦点を当てており、S(4)-3は運用フェーズに焦点を当てる。","■ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びソフトウェア運用プロセスに関する基本的なセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.1","S(4)-3.1.1","S(4)-3.1.1.1","評価項目１：ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びプロセスに関わるセキュリティ要件を特定した方針が存在すること。","SP800-218：PO.1.1、PO.3.2","運用者が、SDLC全体を通じたソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","―",null,null,"○",null,"ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-3.1.1.1.2","標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","ドキュメント評価：\nセキュアなソフトウェアサービス運用の土台となるサービス運用プロセスに関わる全てのセキュリティ要件をリスクベースで特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアを適用したサービス運用プロセスに関する全てのセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.1","S(4)-3.1.1","S(4)-3.1.1.1","評価項目１：ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びプロセスに関わるセキュリティ要件を特定した方針が存在すること。","SP800-218：PO.1.1、PO.3.2","運用者が、SDLC全体を通じたソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","―",null,null,"○",null,"ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-3.1.2.1.1","最低限/標準","ソフトウェア運用の観点から、事業に関連する主要な法規制をリストした資料や情報がある。","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、ソフトウェアを適用したサービス運用インフラ・プロセスに関わる社内ポリシーが満たすべき、主要な法的要件からの要求事項を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件の整理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.1","S(4)-3.1.2","S(4)-3.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1、ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","―",null,null,"○",null,"ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-3.1.2.1.2","標準","ソフトウェア運用の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、ソフトウェアを適用したサービス運用インフラ・プロセスに関わる社内ポリシーが満たすべき、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準といった外部からの要求事項を整理・追跡していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件の管理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）・業界標準（例：ISMAP、ISO/IEC 27001, PCI DSS, FISC安全対策基準）・業界のペストプラクティスに関するリスト\n・外部要件の改訂等を監視・収集する手順","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.1","S(4)-3.1.2","S(4)-3.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1、ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","―",null,null,"○",null,"ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"]
["S(4)-3.2.1.1.1","最低限/標準","ソフトウェアを適用したサービスに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、基本的なセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関する基本的なセキュリティ要件\n例：責任共有モデル等のソフトウェアを適用したサービスに関する基本的な考え方、ソフトウェアの寿命（EOS、廃棄）に関する基本的な考え方、基本的な運用要件（顧客データのバックアップ、ログの取得・保管、インシデント発生時の連絡体制、データの完全性確保対応、環境の分離等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―",null,null,"○",null,"サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"]
["S(4)-3.2.1.1.2","最低限/標準","サービス運用者としてのセキュリティ責任範囲を定義した資料がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ責任範囲を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティの責任範囲","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―",null,null,"○",null,"サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"]
["S(4)-3.2.1.1.3","標準","ソフトウェア及びこれを適用したサービスに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、SDLC全体にわたるセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティ要件\n例：ライフサイクル全体にわたる扱うデータの機微度、公開範囲等に応じた、提供するサービスの可用性・完全性・機密性に関する目標レベルからの要件、顧客へのインシデント通知や顧客データのライフサイクル管理（隔離、暗号化、削除等）、サービスに対する脅威監視からの要件、ライフサイクルのチェックポイントにおける検証フロー要件","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―",null,null,"○",null,"サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"]
["S(4)-3.2.1.1.4","標準","責任共有モデルに基づき、自社及び関連事業者側の責任範囲と顧客側の責任範囲を定義し、ポリシーに反映するとともに、顧客に開示した資料や情報がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、リスクベースの運用、保守等に関わるセキュリティ責任範囲を特定した上で、顧客に説明していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■ソフトウェアを適用したサービスの責任範囲を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティ責任範囲（自社、関連事業者、顧客間の関係を含む）\n・顧客への責任範囲に関する説明記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―",null,null,"○",null,"サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"]
["S(4)-3.2.1.2.1","最低限/標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ要件を規定したポリシーを見直していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■レビューの記録\n・ソフトウェアを適用したサービスに関して適用するセキュリティ要件を規定したポリシーの見直し履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―",null,null,"○",null,"サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"]
["S(4)-3.2.1.2.2","標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関して定期的又は継続的にレビューを実施した記録がある。","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ要件を維持するために、外部環境等の変化に対応して定期的又は継続的に規定したポリシーを改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","■レビューの記録\n・ソフトウェアを適用したサービスに関して適用するセキュリティ要件を規定したポリシーの定期的又は継続的な見直し履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","―",null,null,"○",null,"サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"]
["S(4)-3.3.1.1.1","標準","品質保証部門やセキュリティ部門など、担当部門から独立した組織がサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることについて監査を実施することを示す資料や情報がある。","ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査について、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするサービス運用インフラが運用開始前の段階である場合（この場合は、監査体制の整備途上と考えられる）、整備に向けた計画書や規定など、現状あるべきドキュメントを評価する。","■監査実施に関するドキュメント\n・監査を担当する部門の役割（例：担当部門から独立したことを示す組織図、分掌規程）\n・監査体制表\n・監査の手順（例：監査の基準、範囲などの監査計画、情報収集方法、監査で用いるツール類等の実施手順、報告先や報告書等の監査報告手順、監査人の技能及び能力の検証のためのメカニズム）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.3","S(4)-3.3.1","S(4)-3.3.1.1","評価項目１：サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを監査していること。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を実施していること。","―",null,null,"○",null,"運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。"]
["S(4)-3.3.2.1.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査報告書にて指摘事項を記録し、指摘事項に対して根本原因分析を行い、担当部門が是正対応を行っている記録がある。","ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認する監査を通じて検出された指摘に対して、根本原因の分析を踏まえた是正対応を行っていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n運用前の段階である場合（この場合は、監査の実施前と考えられる）、当該段階において策定すべき計画や方針など、現状あるべきドキュメントを評価する。","■監査と是正処置の記録\n・監査の指摘事項（例：監査報告書）\n・是正処置が完了したことを示す記録（例：是正処置計画書、完了報告書）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.3","S(4)-3.3.2","S(4)-3.3.2.1","評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を通じて検出された指摘に対応することで、ガバナンスの確立を図っていること。","―",null,null,"○",null,"運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。"]
["S(4)-3.3.2.2.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。","ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認する監査を通じて検出された指摘に対して、組織のプロセス改善やポリシー見直しがなされ、ガバナンスの確立に寄与していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n運用前の段階である場合（この場合は、監査の実施前と考えられる）、当該段階において策定すべき計画や方針など、現状あるべきドキュメントを評価する。","■プロセス改善とガバナンスへの反映の記録\n・監査結果を受けて改定された方針文書や手順書等の改訂履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-3.3","S(4)-3.3.2","S(4)-3.3.2.2","評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を通じて検出された指摘に対応することで、ガバナンスの確立を図っていること。","―",null,null,"○",null,"運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。"]
["S(4)-4.1.1.1.1","最低限/標準","ソフトウェアのリリースと運用継続の可否を判断するための最低限のソフトウェアのセキュリティ確認基準を定めた資料や情報がある。","ドキュメント評価：\nリリースと運用継続の可否を判断するための基準を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認\n基準に関するドキュメント\n・リリースと運用継続の判断基準（例：リリース時の致命的な脆弱性の検出状況）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.1","S(4)-4.1.1.1","評価項目１：ソフトウェアのセキュリティ確認基準を定義していること。","SP800-218：PO.4.1","ソフトウェアセキュリティ確認基準を定義していること。","―","○",null,"○",null,"セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"]
["S(4)-4.1.1.1.2","標準","組織のセキュリティ目標に基づき、SDLCの各フェーズのセキュリティチェック基準として、複数の定量的・定性的な指標を定義した資料や情報がある。","ドキュメント評価：\n過去のプロジェクトの脅威、脆弱性情報、及び教訓を参考に、KPI、KRI、開発・運用フェーズの完了等のソフトウェアのセキュリティを確認するための基準を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認基準に関するドキュメント\n・フェーズ毎（要件定義、設計、実装、テスト、リリース、運用等）のセキュリティチェック基準（以下に例を示す）\n　　・設計・実装工程におけるセキュリティ観点レビュー完了率\n　　・テスト時のカバレジ、静的解析の指摘件数\n　　・リリース時の脆弱性の検出状況","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.1","S(4)-4.1.1.1","評価項目１：ソフトウェアのセキュリティ確認基準を定義していること。","SP800-218：PO.4.1","ソフトウェアセキュリティ確認基準を定義していること。","―","○",null,"○",null,"セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"]
["S(4)-4.1.2.1.1","最低限/標準","最低限のセキュリティ確認基準（S(4)-4.1.1）のリスク管理効果に関する資料や情報がある。","ドキュメント評価：\nソフトウェアのリリースと運用継続の可否を判断するためのセキュリティ確認基準がセキュリティリスク管理活動の効果を示すことができるように設計することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","■セキュリティ確認基準とリスク管理効果を示すドキュメント\n・リリースと運用継続の可否を判断するためのセキュリティ確認基準とリスク管理の期待効果の対応（どのセキュリティリスクを低減させることを意図しているか）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.1","評価項目１：セキュリティ確認基準と、そのリスク管理効果との関連性を特定している資料や情報がある。","SP800-218：PO.4.1","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","―","○",null,"○",null,"セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"]
["S(4)-4.1.2.1.2","標準","セキュリティ確認基準とセキュリティリスクの管理効果に関する資料や情報がある。","ドキュメント評価：\nSDLC全体にわたってソフトウェアのセキュリティ確認基準がセキュリティリスク管理活動の効果を示すことができるように設計されていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","■セキュリティ確認基準とリスク管理効果とのトレーサビリティを示すドキュメント\n・SDLC全体にわたるセキュリティ確認基準とリスク管理の期待効果の対応（どのセキュリティリスク低減させることを意図しているか、そのトレーサビリティ）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.1","評価項目１：セキュリティ確認基準と、そのリスク管理効果との関連性を特定している資料や情報がある。","SP800-218：PO.4.1","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","―","○",null,"○",null,"セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"]
["S(4)-4.1.2.2.1","最低限/標準","開発・運用のライフサイクルプロセスにおいて、最低限のセキュリティ確認基準（S(4)-4.1.1）の測定結果がある。","ドキュメント評価：\nリリースと運用継続の可否を判断するためのソフトウェアのセキュリティ確認基準を測定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","■確認基準の記録\n・リリースと運用継続の可否を判断するためのセキュリティ確認基準の測定結果（例：リリース時の致命的な脆弱性の検出状況）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.2","評価項目２：SDLC全体にわたって、セキュリティ確認基準を活用していること。","SP800-218：PO.4.1","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","―","○",null,"○",null,"セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"]
["S(4)-4.1.2.2.2","標準","SDLCの各フェーズにおいて、測定したセキュリティ確認基準を判断材料として活用している記録がある。","ドキュメント評価：\nSDLC全体にわたって測定したソフトウェアのセキュリティ確認基準の結果に基づきSDLCを運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","■確認基準に基づくプロセス運用の記録\n・測定結果に基づくSDLCのセキュリティチェック実施ポイント（計画）とその運用記録（例：設計・実装工程におけるセキュリティ観点レビュー、リリース判断記録）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.2","評価項目２：SDLC全体にわたって、セキュリティ確認基準を活用していること。","SP800-218：PO.4.1","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","―","○",null,"○",null,"セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"]
["S(4)-4.2.1.1.1","最低限/標準","セキュリティ確認基準（S(4)-4.1.1）を測定するためのデータの収集手順に関する資料や情報がある。","ドキュメント評価：\n定義されたセキュリティ確認基準を測定するためのデータを収集する手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認基準を測定するためのデータ収集の手順に関するドキュメント\n・データ収集手順（例：ビルドツールログ（エラーログなどのチェック）やコード解析ツール等の解析結果等の収集ためのツールから出力されるログ等のデータ及び、その収集方法）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.2","S(4)-4.2.1","S(4)-4.2.1.1","評価項目１：確認基準を測定するためのデータを収集するプロセス、メカニズムやツールを実装していること。","SP800-218：PO.4.2","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集するプロセス、メカニズム、ツール等を実装していること。","―","○",null,"○",null,"セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。"]
["S(4)-4.2.1.1.2","標準","セキュアな開発・運用のプロセスに各種セキュリティツールを統合し、開発・運用アクションに関する測定データを収集する仕組みに関する資料や情報がある。","ドキュメント評価：\n定義されたセキュリティ確認基準を測定するためのデータを、効率的かつ継続的に収集する仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■データ収集の仕組みに関するドキュメント\n・データ収集プロセスを定めた仕組み（例：ビルドツールログ（エラーログなどのチェック）やコード解析ツール等の解析結果等の収集ためのツールから出力されるログ等の情報及び、その収集方法、セキュリティダッシュボード等を活用した自動化システム）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.2","S(4)-4.2.1","S(4)-4.2.1.1","評価項目１：確認基準を測定するためのデータを収集するプロセス、メカニズムやツールを実装していること。","SP800-218：PO.4.2","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集するプロセス、メカニズム、ツール等を実装していること。","―","○",null,"○",null,"セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。"]
["S(4)-4.2.2.1.1","最低限/標準","セキュリティ確認基準への準拠チェック用に収集されるデータを保管するリポジトリやツールへのアクセス制限を適用している。","ドキュメント評価：\n意思決定の根拠となるセキュリティ確認基準に関わるデータの信頼性を確保するため、収集データへのアクセスを限定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認基準を測定するための収集データの保護に関するドキュメント\n・データリポジトリやツールのアクセス制御（例：権限設定の一覧、アクセス制御に関する運用手続き）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.2","S(4)-4.2.2","S(4)-4.2.2.1","評価項目１：収集された測定データに対するアクセス制御を実施していること。","SP800-218：PO.4.2","収集情報へのアクセスを承認された担当者に限定し、意図しない情報変更や削除を防止していること。","―","○",null,"○",null,"セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。"]
["S(4)-4.2.2.1.2","標準","セキュリティ確認基準への準拠チェック用に収集されるデータの変更・削除に関する監査ログを取得し、意図しない変更を検知・追跡している。","ドキュメント評価：\nセキュリティ確認基準への準拠チェック用に収集されるデータの信頼性を確保するため、収集データへの意図しない変更や削除を検知していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■収集データの保護に関するドキュメント\n・収集データの完全性確保の手続（例：監査ログの取得設定）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.2","S(4)-4.2.2","S(4)-4.2.2.1","評価項目１：収集された測定データに対するアクセス制御を実施していること。","SP800-218：PO.4.2","収集情報へのアクセスを承認された担当者に限定し、意図しない情報変更や削除を防止していること。","―","○",null,"○",null,"セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。"]
["S(4)-4.3.1.1.1","標準","担当部門から独立した組織がセキュリティ確認基準への適合に関わる監査を実施することを示す資料や情報がある。","ドキュメント評価： \nセキュリティ確認基準の遵守を通じたガバナンスの確立の寄与のため、セキュリティ確認基準への適合に関わる監査体制を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ確認基準への適合に関わる監査実施に関するドキュメント\n・監査を担当する部門の役割（例：組織図、分掌規程）\n・監査体制\n・監査の手順（例：監査の基準、範囲などの監査計画、監査で用いられるチェックリストやツール類等の実施手順、監査報告手順）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.3","S(4)-4.3.1","S(4)-4.3.1.1","評価項目１：セキュリティ確認基準の遵守状況を監査する体制を整備していること。","SP800-218：PO.4.1、Securing the Software Supply Chain for Developers：2.1","セキュリティ確認基準への適合に関わる監査体制とプロセスを整備していること。","―","○",null,"○",null,"セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。"]
["S(4)-4.3.2.1.1","標準","セキュリティ確認基準への適合に関わる監査報告書にて指摘事項を記録し、指摘事項に対して、担当部門が是正対応を行っている記録がある。","ドキュメント評価： \nソフトウェアとその開発・運用に関するライフサイクル全体のセキュリティ水準を維持するため、セキュリティ確認基準への適合に関わる監査結果に基づいて、根本原因分析を踏まえた是正対応を行っていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■監査と是正処置の記録\n・監査報告書\n・是正処置が完了していることを示す記録（例：是正処置計画書、完了報告書）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.3","S(4)-4.3.2","S(4)-4.3.2.1","評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。","SP800-218：PO.4.2","セキュリティ上の確認基準への適合に関する監査を通じて検出された指摘に対応することで、セキュアなソフトウェアとそのための開発・運用プロセスを定期的又は継続的に改善していること。","―","○",null,"○",null,"セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。"]
["S(4)-4.3.2.2.1","標準","セキュリティ確認基準への適合に関わる監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。","ドキュメント評価： \nソフトウェアとその開発・運用に関するライフサイクル全体のセキュリティ水準を維持するため、セキュリティ確認基準への適合に関わる監査結果に基づいて、開発・運用基準やプロセスを定期的又は継続的に改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。開発プロセスが不適切であるために、セキュリティ確認基準に基づく意思決定が適切に行えていない場合の改善等も想定する。","■プロセス改善に関する記録\n・監査結果を受けて改訂された開発・運用に関わる方針文書や手順書等の更新履歴\n・セキュリティチェック基準の見直し実績・履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-4.3","S(4)-4.3.2","S(4)-4.3.2.2","評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。","SP800-218：PO.4.2","セキュリティ上の確認基準への適合に関する監査を通じて検出された指摘に対応することで、セキュアなソフトウェアとそのための開発・運用プロセスを定期的又は継続的に改善していること。","―","○",null,"○",null,"セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。"]
["S(4)-5.1.1.1.1","最低限/標準","高リスク要因に対処するため、開発・運用プロセスで使用するセキュリティツールのカテゴリを定めた資料や情報がある。","ドキュメント評価：\nセキュアなツール活用を進めるため、高リスク要因の軽減を目的としたツールとツールチェーンのカテゴリ（IDE、コンパイラ等）を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールカテゴリの定義に関するドキュメント\n・ソフトウェア開発・運用における高リスク要因のリスト\n・ツールの情報（ツールのカテゴリ（例：IDE、コンパイラ）、基本機能、セキュリティ機能等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.1","S(4)-5.1.1.1","評価項目１：リスク評価に基づき、導入すべきツールのカテゴリを定義していること。","SP800-218：PO.3.1","ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクを軽減するため、ツールチェーン内のカテゴリを定義し、各カテゴリで使用する必須ツールを指定していること。","―","○",null,null,null,"ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"]
["S(4)-5.1.1.1.2","標準","ソフトウェア開発・運用のリスク分析結果に基づき、プロジェクトのリスクレベルや特性に応じて導入すべきツールのカテゴリをライフサイクル全体にわたり定めた資料や情報がある。","ドキュメント評価：\nセキュアなツール活用を進めるため、ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクの軽減を目的としたツールとツールチェーンのカテゴリ（IDE、コンパイラ等）をライフサイクル全体にわたり定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールカテゴリの定義に関するドキュメント\n・ソフトウェア開発・運用におけるリスク分析・評価の結果\n・ツールの比較検討結果\n・ライフサイクル全体にわたり採用するツールのリスト（ツールのカテゴリ（例：IDE、コンパイラ）、基本機能、セキュリティ機能等）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.1","S(4)-5.1.1.1","評価項目１：リスク評価に基づき、導入すべきツールのカテゴリを定義していること。","SP800-218：PO.3.1","ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクを軽減するため、ツールチェーン内のカテゴリを定義し、各カテゴリで使用する必須ツールを指定していること。","―","○",null,null,null,"ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"]
["S(4)-5.1.2.1.1","最低限/標準","主要な開発・運用フェーズで連携させるツール群の構成を定義した資料や情報がある。","ドキュメント評価：\nコード管理、ビルド、テスト、デプロイといった主要なソフトウェア開発・運用プロセス及びワークフローにおいて活用するツール群の連携構成を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールチェーンの構成と連携に関するドキュメント\n・主要な開発・運用プロセスにおけるツールの構成","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.2","S(4)-5.1.2.1","評価項目１：ツールチェーンの構成と連携方法を定義していること。","SP800-218：PO.3.1","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","―","○",null,null,null,"ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"]
["S(4)-5.1.2.1.2","標準","ツールチェーン全体のアーキテクチャと統合方法に関する資料や情報がある。","ドキュメント評価：\n特定したソフトウェア開発・運用に関わるリスクを軽減するため、ツール群が連携しワークフローに溶け込むよう、ツール間で受け渡される情報等のツールチェーン全体の構成を指定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールチェーンの構成と連携に関するドキュメント\n・ツールチェーンの全体構成\n・ツールチェーンのコンポーネントの統合方法（例： 連携データ、ツール統合時の連携ファイル）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.2","S(4)-5.1.2.1","評価項目１：ツールチェーンの構成と連携方法を定義していること。","SP800-218：PO.3.1","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","―","○",null,null,null,"ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"]
["S(4)-5.1.2.2.1","標準","ツールチェーンを開発・運用のプロセスとワークフローに統合していること。","ドキュメント評価：\n特定したソフトウェア開発・運用に関わるリスクを軽減するため、ツールチェーンのコンポーネントを既存のソフトウェア開発・運用プロセス及びワークフローと統合していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発・運用ワークフローへの統合に関するドキュメント\n・ツールチェーンを統合した開発・運用ワークフロー定義（例：ビルドの失敗、スキャン結果等を活用した統合の手続）\n・ツールチェーンから開発者・運用者へのフィードバックの定義（例：ビルドの失敗、スキャン結果等を活用したフィードバック情報）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.1","S(4)-5.1.2","S(4)-5.1.2.2","評価項目２：ツールチェーンを、開発者・運用者のプロセス及びワークフローに統合していること。","SP800-218：PO.3.1","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","―","○",null,null,null,"ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"]
["S(4)-5.2.1.1.1","最低限/標準","導入するツールに既知の重大な脆弱性がないことを確認した記録がある。","ドキュメント評価：\nツールがソフトウェアの脆弱性要因とならないよう、ツールの重大な脆弱性情報を確認していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","■ツールのセキュリティ評価に関するドキュメント\n・ツール選定時の脆弱性情報の確認結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.1","S(4)-5.2.1.1","評価項目１：導入するツールのセキュリティを評価した記録が存在すること。","SP800-218：PO.3.2","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.1.1.2","標準","組織のポリシーに従い、導入するツールについて、提供元の信頼性評価やツールのセキュリティ評価を実施した記録がある。","ドキュメント評価：\nツールがソフトウェアの脆弱性要因とならないよう、組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールのセキュリティ評価に関するドキュメント\n・組織のポリシー及び、セキュリティ慣行に基づくツール選定時のセキュリティ評価（例：脆弱性診断、出所情報）の結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.1","S(4)-5.2.1.1","評価項目１：導入するツールのセキュリティを評価した記録が存在すること。","SP800-218：PO.3.2","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.1.2.1","標準","組織のセキュリティポリシーに基づく、ツールとツールチェーンのセキュリティ堅牢化及び、配備に関する資料や情報がある。","ドキュメント評価： \nツールがソフトウェアの脆弱性要因とならないよう、組織のポリシー及び、セキュリティ慣行に従って、セキュアにツールとツールチェーンを配備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールとツールチェーンのセキュアな配備に関するドキュメント\n・ツールとツールチェーンの環境構築手順（例：不要機能の無効化、セキュアな通信設定、アクセス制御の構成等のハーデニング）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.1","S(4)-5.2.1.2","評価項目２：ツールとツールチェーンのセキュアな構成とその配備の方法を特定していること。","SP800-218：PO.3.2","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.2.1.1","最低限/標準","ツールチェーンの重要な設定項目について、定期的又は継続的なレビュー記録がある。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの重要な設定を定期的又は継続的に確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツール構成の確認に関する記録\n・ツールチェーンの重要な構成に関する定期的又は継続的な確認履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.1","評価項目１：ツールチェーンの構成が、意図せず変更されていないことの監視記録が存在すること。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.2.1.2","標準","構成管理ツール等を用いて、ツールの設定変更を管理し、特定したセキュアな構成からの逸脱を検知・通知している。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの構成に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）を定期的又は継続的に監視することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツール構成の監視に関する記録\n・ツールチェーンの構成変更のレビュー記録\n・ツールチェーンの構成ファイルの変更履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.1","評価項目１：ツールチェーンの構成が、意図せず変更されていないことの監視記録が存在すること。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.2.2.1","最低限/標準","ツールチェーンにおいて、本番環境への無許可アクセス等の重大なポリシー違反を検知するための記録が存在している。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる重大なセキュリティ問題（本番環境への無許可アクセス等）について検知することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツール利用の検知に関するドキュメント\n・ツールやツールログのチェック履歴（実行時に発生した重大なセキュリティ関連のエラーログのチェックなど）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.2","評価項目２：ツールチェーンの運用状況を、セキュリティの観点から監視していることを示す記録が存在すること。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.2.2.2","標準","ツールチェーンにおいて、収集したログを分析し、検知すべき異常な振る舞いやポリシー違反を検知するための監視ルールを実装している。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）について定期的又は継続的に監視することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツール自体のセキュリティ問題だけではなく、セキュアなソフトウェア開発・運用に関わる、ポリシー違反や異常な動作を含むセキュリティ上の潜在的な問題を発見するために、ツール利用時の証跡を定期的又は継続的に監視する。問題の例としては、特権アカウントの不正利用、ビルドプロセスへの不審なコード挿入の試み、保護されたブランチへの強制プッシュ、セキュリティチェックの意図的なスキップ等である。","■ツール利用の監視に関するドキュメント\n\n・ツールとツールチェーンに関わるセキュリティ監視ルールの定義（例：ログ管理システム（SIEM等）の設定情報）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.2","評価項目２：ツールチェーンの運用状況を、セキュリティの観点から監視していることを示す記録が存在すること。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.2.3.1","最低限/標準","ツールチェーンにおいて、重大なポリシー違反を検知した際に、担当者が対応する手順に関する資料や情報がある。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる重大なセキュリティ問題に対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■対応プロセスに関するドキュメント\n・検知された重大なポリシー違反への対応の手続（例：調査、是正措置、再発防止策の検討）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.3","評価項目３：検知された問題への対応を実施していること。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.2.3.2","標準","ツールチェーンにおいて、検知したイベントへの一連の対応プロセスと、過去の対応記録に関する資料や情報がある。","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）に対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nまた、ツール自体のセキュリティ問題だけではなく、セキュアなソフトウェア開発・運用に関わる、ポリシー違反や異常な動作を含むセキュリティ上の潜在的な問題にも対処していることを評価する。問題の例としては、特権アカウントの不正利用、ビルドプロセスへの不審なコード挿入の試み、保護されたブランチへの強制プッシュ、セキュリティチェックの意図的なスキップ等である。","■対応プロセスに関するドキュメント\n・検知された問題への対応の手続（例：イベントの深刻度評価、調査、是正措置、再発防止策の検討）\n・是正措置の記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.3","評価項目３：検知された問題への対応を実施していること。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.3.1.1","最低限/標準","利用しているツールに既知の重大な脆弱性がないことを定期的又は継続的に確認した記録がある。","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、ツールの脆弱性を定期的又は継続的に確認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールの脆弱性管理に関するドキュメント\n\n・ツールの定期的又は継続的な確認記録（例：脆弱性情報）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.1","評価項目１：ツールの脆弱性情報を定期的又は継続的に評価していること。","SP800-218：PO.3.2","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.3.1.2","標準","組織のポリシーに従い、利用しているツールのセキュリティの評価を定期的又は継続的に実施する手順がある。","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を定期的又は継続的にレビューする手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールの脆弱性管理に関するドキュメント\n・ツールのセキュリティ評価手順","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.1","評価項目１：ツールの脆弱性情報を定期的又は継続的に評価していること。","SP800-218：PO.3.2","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.3.2.1","最低限/標準","ツールに重大な脆弱性が発見された場合、パッチ適用やバージョンアップを実施した記録がある。","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、ツールの重大な脆弱性に対応するため、ツールを更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、ツールに脆弱性が確認できない場合が考えられる）、重大な脆弱性に対するツールのバージョンアップの方針など、現状あるべきドキュメントを評価する。","■ツールのアップデートに関するドキュメント\n・重大な脆弱性に対処するためのツールの更新履歴","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.2","評価項目２：ツールを必要に応じてアップデートしていること。","SP800-218：PO.3.2","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.2.3.2.2","標準","自組織の開発プロセスの見直し、もしくは新しいツール機能にあわせてツールを評価し、必要に応じてツールを更新、アップグレード、または交換する手順がある。","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、組織のポリシーに従い、ツールの出所、や新機能等を定期的又は継続的にレビューし、ツールを維持・更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ツールのアップデートに関するドキュメント\n・ツールの更新に関する手続き（例：アップデート、変更管理、適用後のテスト）\n・ツールの評価記録\n・ツールの更新履歴","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.2","評価項目２：ツールを必要に応じてアップデートしていること。","SP800-218：PO.3.2","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","―","○",null,null,null,"ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"]
["S(4)-5.3.1.1.1","最低限/標準","ソースコードリポジトリにおいて、誰が、いつ、どのコードを変更したかに関する記録がある。","ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、ソースコードに関する監査証跡を生成することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■監査証跡の生成に関するドキュメント\n\n・ツールの実行ログ（例：実行者、日時、結果等により追跡可能なログ）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.3","S(4)-5.3.1","S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","SP800-218：PO.3.3","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","―","○",null,null,null,"ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。"]
["S(4)-5.3.1.1.2","標準","一連の開発・運用アクションが追跡可能な形で記録されるようにツールチェーンを構成していることを示す記録がある。","ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、コード生成、レビュー、ビルド、テスト、デプロイといった一連の開発・運用アクションに関する監査証跡を生成するように、ツール（ワークフロー追跡等）を構成することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■監査証跡の生成に関するドキュメント\n・ツールの設定（例：設定内容、項目）\n・ツールのアウトプット情報（例：生成ファイルとその情報、監査ログ設定と内容）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.3","S(4)-5.3.1","S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","SP800-218：PO.3.3","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","―","○",null,null,null,"ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。"]
["S(4)-5.3.1.1.3","標準","開発・運用アクションに関する監査証跡のアクセス制御に関わる資料や情報がある。","ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発アクションに関する監査証跡を保護することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■監査証跡の生成に関するドキュメント\n・ツールのアウトプットのアクセス制御（例：アクセスリスト、監査証跡の保護設定）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-5.3","S(4)-5.3.1","S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","SP800-218：PO.3.3","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","―","○",null,null,null,"ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。"]
["S(4)-6.1.1.1.1","最低限/標準","ソフトウェア開発の各環境の基本的な構成や管理状況に関する資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を管理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの環境の分離を定めたドキュメント\n・各環境の基本的な構成や管理状況（例：ネットワーク構成、ファイアウォール、アクセス制御方法、環境間の差分情報、ログ情報）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","SP800-218：PO.5.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","―","○",null,"○",null,"環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。"]
["S(4)-6.1.1.1.2","標準","目的やリスクレベルに応じて各環境間の分離と保護の方式が定義され、分離と保護を実施していることを示す資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を、目的やリスクレベルに応じた各環境間の分離と保護の方式を通じて、分離・保護していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの環境の分離を定めたドキュメント\n・各環境間の分離と保護のコントロール（例：認証方式、アクセス管理表、監視ルール）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","SP800-218：PO.5.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","―","○",null,"○",null,"環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。"]
["S(4)-6.1.1.1.3","標準","ソフトウェア開発の各フェーズで使用される環境ごとのデータの保護方針を示す資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）上のデータを分離・保護していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの環境の分離を定めたドキュメント\n・データの保護方針（例：本番データの開発環境での利用方針、マスキング方針）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","SP800-218：PO.5.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","―","○",null,"○",null,"環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。"]
["S(4)-6.1.1.2.1","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツールの脆弱性を監視し対処する手続きに関する資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）を分離・保護するツールの脆弱性を監視し対処していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■分離された各開発環境の維持・管理に関するドキュメント\n・環境の保護に関連するツールの脆弱性の管理手続き\n・構成変更の手順","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","SP800-218：PO.5.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","―","○",null,"○",null,"環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。"]
["S(4)-6.1.1.2.2","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツール・対策の構成変更に関する記録がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を分離・保護するツール・対策の構成を適切に見直していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■分離された各開発環境の維持・管理に関するドキュメント\n・環境の見直し履歴（例：環境のアクセス管理表の見直し履歴、構成見直し履歴）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","SP800-218：PO.5.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","―","○",null,"○",null,"環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。"]
["S(4)-6.1.1.2.3","標準","ソフトウェア開発の各フェーズで使用される環境間の分離と保護状態のチェックに関する記録がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）の分離・保護状態を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■分離された各開発環境の維持・管理に関するドキュメント\n・分離と保護の監視記録（例：アラートログ、アクセス違反等のログ保存など）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","SP800-218：PO.5.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","―","○",null,"○",null,"環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。"]
["S(4)-6.1.1.2.4","標準","ソフトウェア開発の各フェーズで使用される環境について、監視を通じてサイバーインシデントを検出し、インシデントから回復する手順に関する資料や情報がある。","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）の分離・保護に関するインシデントを検出し復旧する手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■分離された各開発環境の維持・管理に関するドキュメント\n・監視を通じてサイバーインシデントを検出し、インシデントから回復する手順","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","SP800-218：PO.5.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","―","○",null,"○",null,"環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。"]
["S(4)-6.2.1.1.1","最低限/標準","ソフトウェアの設計者、開発者、テスター、ビルダー向けなどの開発環境及び開発用エンドポイントにおける一般的な脅威を識別し、リスク評価を実施した記録がある。","ドキュメント評価：\nセキュアなソフトウェアの根幹をなす開発環境における開発用エンドポイント（ソフトウェアの設計者、開発者、テスター、ビルダー向けなど）の保護・強化方法を選定するために、一般的な脅威（例：マルウェア感染、物理的盗難）を対象としたリスク分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発環境及び開発用エンドポイントのリスク分析に関するドキュメント\n・リスク分析・評価を実施可能とするための手続き\n・開発用エンドポイント（パソコンやモバイル端末など）を対象とした一般的な脅威を想定したリスク判定結果","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.1","S(4)-6.2.1.1","評価項目１：開発環境及び開発用エンドポイントに対するリスク分析の結果が存在すること。","SP800-218：PO.5.2","開発環境及び開発用エンドポイントの保護・強化方法を選定するために、リスク分析を実施していること。","―","○",null,null,null,"開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"]
["S(4)-6.2.1.1.2","標準","開発環境及び開発用エンドポイントにおける開発者の行動や利用シナリオを想定した具体的な脅威シナリオに基づき、詳細なリスク分析を実施した記録がある。","ドキュメント評価：\nセキュアなソフトウェアの根幹をなす開発環境における開発用エンドポイント（ソフトウェアの設計者、開発者、テスター、ビルダー向けなど）の保護・強化方法を選定するために、開発者の行動や利用シナリオを想定した詳細なリスク分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■開発環境及び開発用エンドポイントのリスク分析に関するドキュメント\n・リスク分析・評価を実施可能とするための手続き（例：規程、実施手順）\n・開発用エンドポイント（パソコンやモバイル端末など）を対象とした詳細なリスク判定結果（例：悪意のある開発拡張ツールによるバックドア設置）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.1","S(4)-6.2.1.1","評価項目１：開発環境及び開発用エンドポイントに対するリスク分析の結果が存在すること。","SP800-218：PO.5.2","開発環境及び開発用エンドポイントの保護・強化方法を選定するために、リスク分析を実施していること。","―","○",null,null,null,"開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"]
["S(4)-6.2.2.1.1","最低限/標準","開発環境及び開発用エンドポイントに導入すべき基本的なセキュリティ対策の方針や基準を定めた資料や情報がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を実施できるよう、リスク分析に基づき、開発環境及び開発用エンドポイントの基本的なセキュリティ保護策（例：アンチウイルスソフト導入、OS・ソフトウェアの最新化、ファイアウォール有効化）を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■保護・強化方法に関するドキュメント\n・リスク分析結果に基づく基本的な対策の選定記録、リスク対応計画","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.1","評価項目１：リスク分析に基づき、保護・強化方法を特定していること。","SP800-218：PO.5.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","―","○",null,null,null,"開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"]
["S(4)-6.2.2.1.2","標準","リスク評価の結果に基づき、開発環境及び開発用エンドポイントからアクセスするリソース、また開発環境及び開発用エンドポイントに導入すべきセキュリティ対策の方針や基準を定めた資料や情報がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を実施できるよう、リスク分析に基づき、開発環境及び開発用エンドポイントと開発環境及び開発用エンドポイントからアクセスするリソースのセキュリティ保護策を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■保護・強化方法に関するドキュメント\n・リスク分析結果に基づく対策の選定記録、リスク対応計画\n・開発環境及び開発用エンドポイント向けの組織のセキュリティ管理基準（例：端末設定、ネットワーク参加権限、アプリケーションリスト、データの保護策、ウィルス対策、パーソナルファイアウォール、仮想環境、多要素認証、ディスク暗号化、機密データのDLP、サービス管理、アプリケーション実行制御）\n・開発用エンドポイントからアクセスするリソース向けの組織のセキュリティ管理基準（例：開発リソース（サーバなど）へのアクセスコントロール、システムログの監視）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.1","評価項目１：リスク分析に基づき、保護・強化方法を特定していること。","SP800-218：PO.5.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","―","○",null,null,null,"開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"]
["S(4)-6.2.2.2.1","最低限/標準","開発環境及びエンドポイントの基本的なセキュリティ対策を実施していることを示す資料や情報がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントの基本的なセキュリティ保護策を実施していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","■セキュリティ監視に関するドキュメント\n・セキュリティアラートの検知記録（認証失敗、マルウェア検知等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.2","評価項目２：開発環境及び開発用エンドポイントに対するセキュリティ対策を実施していること。","SP800-218：PO.5.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","―","○",null,null,null,"開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"]
["S(4)-6.2.2.2.2","標準","開発環境およびエンドポイントの堅牢化と監視を定期的又は継続的に運用している記録がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を確実に実施できるよう、セキュリティ対策の方針に基づき開発環境及び開発用エンドポイントを堅牢化すると共に、不審な挙動（例：不審なプロセス実行、外部への意図しない通信、特権アクセスやアクセス試行）の監視・分析を定期的又は継続的に実施していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","■セキュリティ監視に関するドキュメント\n・EDR/SIEM等の監視システムの構成資料、監視ルール\n・セキュリティアラートの検知記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.2","評価項目２：開発環境及び開発用エンドポイントに対するセキュリティ対策を実施していること。","SP800-218：PO.5.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","―","○",null,null,null,"開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"]
["S(4)-6.2.2.3.1","最低限/標準","開発環境及び開発用エンドポイントでのインシデント発生時の報告・対応手順に関する資料や情報がある。","ドキュメント評価：\n開発環境及び開発用エンドポイントでのサイバーインシデント発生時の対応手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■インシデント対応に関するドキュメント\n・インシデント対応手順","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.3","評価項目３：開発環境及び開発用エンドポイントで発生したインシデントへの対応プロセスが整備・運用されていること。","SP800-218：PO.5.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","―","○",null,null,null,"開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"]
["S(4)-6.2.2.3.2","標準","インシデント発生時に、手順に則って対応（封じ込め、調査、復旧）した記録がある、または対応訓練の実施に関する記録がある。","ドキュメント評価：\n手順に従い、開発環境及び開発用エンドポイントでのサイバーインシデントを検出、対応、回復していること、またはその訓練を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■インシデント対応に関するドキュメント\n・インシデントの対応履歴\n・開発環境及び開発用エンドポイントの見直し履歴\n・インシデント対応訓練の実施記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.3","評価項目３：開発環境及び開発用エンドポイントで発生したインシデントへの対応プロセスが整備・運用されていること。","SP800-218：PO.5.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","―","○",null,null,null,"開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"]
["S(5)-1.1.1.1.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針に関する資料や情報がある。","ドキュメント評価： \nセキュリティに関わる情報を取得・提供・共有するため、組織として外部との情報連携をどのように位置付け、実施するかを定めた基本方針を整備することについて責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報連携に関する基本方針のドキュメント\n・情報連携の基本方針（目的、責任者、基本的な連携ルール）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.1","S(5)-1.1.1","S(5)-1.1.1.1","評価項目１：ポリシー文書が存在していること。","サイバーセキュリティ経営ガイドライン：指示7、指示10\nENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards\n情報セキュリティ早期警戒パートナーシップガイドライン","ソフトウェア及びサービスに関連する法的要件、業界標準及び、ベストプラクティスに適合した、情報連携を実施するためのポリシーを整備していること。","―","○","○","○",null,"情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。"]
["S(5)-1.1.1.2.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針の内容が、関連する外部要件に準拠していることを確認した記録がある。","ドキュメント評価：\nセキュリティ確保の参照情報として、組織として外部との情報連携の基本方針が、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準（例：情報セキュリティ早期警戒パートナーシップガイドラインの脆弱性発見時の届出）に遵守していることを確認することについて責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■外部要件への適合に関するドキュメント\n・遵守すべき法規制・業界標準等に関するリスト\n・外部要件と社内ポリシー間のギャップ分析結果","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.1","S(5)-1.1.1","S(5)-1.1.1.2","評価項目２：情報連携に関するポリシーと外部要件との適合性を確認していること。","サイバーセキュリティ経営ガイドライン：指示7、指示10\nENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards\n情報セキュリティ早期警戒パートナーシップガイドライン","ソフトウェア及びサービスに関連する法的要件、業界標準及び、ベストプラクティスに適合した、情報連携を実施するためのポリシーを整備していること。","―","○","○","○",null,"情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。"]
["S(5)-1.1.2.1.1","標準","外部からの脆弱性報告等の情報受付と外部への情報発信に関する役割を定めた資料や情報がある。","ドキュメント評価： \n情報連携のための組織のポリシーが具体化され、情報連携のための役割を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■体制に関するドキュメント\n・情報連携に関する役割定義（例：CSIRT と連絡責任者（POC））","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.1","S(5)-1.1.2","S(5)-1.1.2.1","評価項目１：情報連携を担う役割を定義していること。","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks","組織のポリシーに基づき、役割・プロセスを整備していること。","―","○","○","○",null,"情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。"]
["S(5)-1.1.2.2.1","標準","外部から情報を受け取った際、または自社から情報を発信する際の基本的な対応手順に関する資料や情報がある。","ドキュメント評価：\n情報連携のための組織のポリシーが具体化され、情報共有の資格や情報共有フォーマット、マニュアル等を含む情報連携のための、プロセスを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■プロセスに関するドキュメント\n・情報連携に関わる手順（例：連絡窓口、脆弱性/インシデント連絡フロー、情報共有の範囲（機密区分）、合意形成（例外受容の証跡）のフロー））\n・連携ツール（例：Webフォーム、専用メールアドレス）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.1","S(5)-1.1.2","S(5)-1.1.2.2","評価項目２：情報連携の具体的なプロセスを定義していること。","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks","組織のポリシーに基づき、役割・プロセスを整備していること。","―","○","○","○",null,"情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。"]
["S(5)-1.2.1.1.1","最低限/標準","関係ベンダーに提供しているセキュリティ情報がある。","ドキュメント評価： \n関係者がリスクに対処することで顧客のセキュリティを向上させるため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダーに提供していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報提供チャネルのドキュメント\n・過去に提供したセキュリティ情報","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.1","評価項目１：関係ベンダーへの情報提供チャネルを実装していること。","SP800-161：3.2","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","―","○","○","○",null,"重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"]
["S(5)-1.2.1.1.2","標準","情報連携を実施するためのポリシーに基づき、関係ベンダー毎に、適切な情報提供チャネルを用意し、情報提供チャネルごとの情報を入手する方法に関する資料や情報があること。","ドキュメント評価： \n関係者がリスクに対処することで顧客のセキュリティを向上させるため、業界固有の必須かつ重要なセキュリティ関連情報を適切なチャネルに基づき関係ベンダーに提供していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該情報提供の実施前の可能性も考えられる）、情報提供チャネルに関する準備すべきドキュメントを評価する。S(5)-1.1で定めたポリシーに準じた活動を推進していることを評価する。","■情報提供チャネルのドキュメント\n・情報提供チャネル（例：セキュリティアドバイザリのWebページ、通知メールの送信履歴やテンプレート、サポートポータルのコンテンツ）\n・情報提供チャネルごとの関係ベンダーが情報を入手する方法の案内（例：情報共有の資格、情報を有効活用するためのフォーマットやマニュアル）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.1","評価項目１：関係ベンダーへの情報提供チャネルを実装していること。","SP800-161：3.2","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","―","○","○","○",null,"重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"]
["S(5)-1.2.1.2.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報に関して公開している資料や情報がある。","ドキュメント評価：\n関係者がリスクに対処することで顧客のセキュリティを向上させるため、自社製品の脆弱性関連情報を公開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該情報提供の実施前の可能性も考えられる）、情報提供チャネルに関する準備すべきドキュメントを評価する。","■情報提供の実績のドキュメント\n・過去に公開されたセキュリティアドバイザリの一覧（例：自社製品の脆弱性）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.2","評価項目２：必要なセキュリティ関連情報をサプライチェーンに提供していること。","SP800-161：3.2","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","―","○","○","○",null,"重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"]
["S(5)-1.2.1.2.2","標準","脆弱性情報に加え、製品のセキュアな利用方法や業界固有の脅威情報等に関して提供先の特性に応じて公開している資料や情報がある。","ドキュメント評価：\n関係者がリスクに対処することで顧客のセキュリティを向上させるため、製品のセキュアな利用法や業界固有の脅威情報等のセキュリティ関連情報を公開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。S(5)-1.1で定めたポリシーに準じた活動を推進していることを評価する。","■情報提供の実績のドキュメント\n・過去に公開されたセキュリティアドバイザリの一覧（例：脅威情報や製品のセキュアな利用方法）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.2","評価項目２：必要なセキュリティ関連情報をサプライチェーンに提供していること。","SP800-161：3.2","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","―","○","○","○",null,"重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"]
["S(5)-1.2.2.1.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報を連携対象として定義した資料や情報がある。","ドキュメント評価：\nサプライチェーン先に一貫した情報提供が行えるよう、連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報として緊急度の高い脆弱性情報を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報定義に関するドキュメント\n・連携情報の定義（緊急度の高い脆弱性情報）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.2","S(5)-1.2.2.1","評価項目１：連携するセキュリティ関連情報の種類を定義していること。","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks\nサイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン  ","連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報を明確に定義していること。","―","○","○","○",null,"重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"]
["S(5)-1.2.2.1.2","標準","脆弱性情報に加え、脅威情報、インシデント情報、製品のセキュアな設定・運用に関するベストプラクティスなど提供対象とすべき重要情報を定義した資料や情報がある。","ドキュメント評価：\nサプライチェーン先に一貫した情報提供が行えるよう、連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報（脆弱性情報、脅威情報、インシデント情報、ベストプラクティス等）を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報定義に関するドキュメント\n・連携情報の定義（例：脅威情報（攻撃の観測状況）、インシデント情報（影響範囲等）、製品のセキュアな設定・運用、被害事例）、公開基準","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.2","S(5)-1.2.2","S(5)-1.2.2.1","評価項目１：連携するセキュリティ関連情報の種類を定義していること。","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks\nサイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン  ","連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報を明確に定義していること。","―","○","○","○",null,"重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"]
["S(5)-1.3.1.1.1","最低限/標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）に参加していること。","ドキュメント評価：\n当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス）に参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■情報連携制度・仕組みへの参加に関するドキュメント\n・当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みに関する情報（活用を示す手順、届出者登録完了通知（例：JPCERT/CC、IPA（JVN）、NCO等から公開される脆弱性勧告やアラート）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.3","S(5)-1.3.1","S(5)-1.3.1.1","評価項目１：外部の公式な情報連携制度・仕組みに参加していること。","サイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みを活用し、サプライチェーンでの脆弱性情報共有の仕組みを構築していること。","―","○","○","○",null,"脆弱性情報の通知サービスの利用","効率的に脆弱性情報の共有を図るため、脆弱性情報の通知サービスを利用する。"]
["S(5)-1.3.1.2.1","標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）から取り込んだ脆弱性情報等をS(5)-1.2の活動に活用した資料や情報がある。","ドキュメント評価：\n当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス）を活用し、脆弱性情報共有の仕組みを構築していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■プロセスに関するドキュメント\n・情報連携プロセス（例：JPCERT/CC、IPA（JVN）への届け出手続き、当該組織から公開される情報の受領とその活用手続き等）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-1.3","S(5)-1.3.1","S(5)-1.3.1.2","評価項目２：外部の公式な情報連携制度・仕組みを活用した情報共有（受信・発信）のプロセスを整備していること。","サイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みを活用し、サプライチェーンでの脆弱性情報共有の仕組みを構築していること。","―","○","○","○",null,"脆弱性情報の通知サービスの利用","効率的に脆弱性情報の共有を図るため、脆弱性情報の通知サービスを利用する。"]
["S(5)-2.1.1.1.1","最低限/標準","少なくとも一つのセキュリティに関わる業界団体やコミュニティに参加した記録がある。","ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析するISAC等の業界団体やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n会社、部門、もしくは関係者が参加していることを確認する。","■セキュリティコミュニティへの参加の記録\n・ISAC、業界団体、セキュリティコミュニティ等の参加の証跡（例：会員リストや会員証）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.1","S(5)-2.1.1","S(5)-2.1.1.1","評価項目１：自社の事業に関連するセキュリティコミュニティに参加している記録が存在すること。","サイバーセキュリティ経営ガイドライン：指示10","ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析する業界団体やコミュニティへ参加していること。","―","○","○","○",null,"協力体制の活用","ソフトウェアの製品及びサービスのセキュリティを改善するために、外部の事業者、顧客、及び専門機関が参加するソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"]
["S(5)-2.1.1.1.2","標準","事業領域や技術領域に応じて、セキュリティに関わる複数の適切な業界団体やコミュニティに自組織として参加している記録がある。","ドキュメント評価：\n組織として外部の知見を取り入れる体制を持っているかを確認するため、事業領域や技術領域に応じたソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析するISAC等の業界団体やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。","■セキュリティコミュニティへの参加の記録\n・ISAC、業界団体、セキュリティコミュニティ等の参加の証跡（例：会員リストや会員証）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.1","S(5)-2.1.1","S(5)-2.1.1.1","評価項目１：自社の事業に関連するセキュリティコミュニティに参加している記録が存在すること。","サイバーセキュリティ経営ガイドライン：指示10","ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析する業界団体やコミュニティへ参加していること。","―","○","○","○",null,"協力体制の活用","ソフトウェアの製品及びサービスのセキュリティを改善するために、外部の事業者、顧客、及び専門機関が参加するソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"]
["S(5)-2.1.2.1.1","最低限/標準","業界団体やコミュニティの活動で得たセキュリティに関わる情報を、社内関係者に共有した記録がある。","ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し、ソフトウェア製品及びサービスのセキュリティに関する知識を社内に共有していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n関係者に共有されていることを確認できれば、会社、部門等を代表して参加していなくともよい。","■活用実績を示すドキュメント\n・会合やトレーニングの参加報告","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.2","S(5)-2.1.2","S(5)-2.1.2.1","評価項目１：コミュニティ活動で得た情報を自社のセキュリティ対策に活用していること。","SP800-161：3.2","業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し、ソフトウェア製品及びサービスのセキュリティに関する知識・スキルを向上させる等自組織の取組に活用していること。","―","○","○","○",null,"協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。"]
["S(5)-2.1.2.1.2","標準","業界団体やコミュニティから得たセキュリティに関わる情報を基に、自社のセキュリティ対策への影響を評価、もしくは対策を更新した記録がある。","ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し得られた知見に基づき、自社のソフトウェア製品及びサービスのセキュリティに関する影響を評価、もしくは対策を更新等自組織の取組に活用していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。","■活用実績を示すドキュメント\n・セキュリティ対策に関する外部情報の活用に関する手順書、セキュリティ対策の評価結果（例：インシデント対応手順の更新、監視ルールの更新）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.2","S(5)-2.2.1","S(5)-2.1.2.1","評価項目１：コミュニティ活動で得た情報を自社のセキュリティ対策に活用していること。","SP800-161：3.2","業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","―","○","○","○",null,"協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。"]
["S(5)-2.2.1.1.1","最低限/標準","自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて業界団体やコミュニティへ公表した記録がある。","ドキュメント評価：\n情報の消費者の立場に終始するのではなく、自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて公表していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。\n協力体制への参加により、セキュリティ確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティ改善アクションの効果・効率が高まり、結果としてソフトウェアの品質と組織のレジリエンスが向上することを想定する。","■情報提供の実績を示すドキュメント\n・自社情報の公表の判断結果（例：自社製品の脆弱性）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.2","S(5)-2.2.1","S(5)-2.2.1.1","評価項目１：コミュニティの運営や活動に積極的に関与していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default","業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","―","○","○","○",null,"協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。"]
["S(5)-2.2.1.1.2","標準","業界団体やコミュニティ活動の推進に関する積極的な関与に関する資料や情報がある。","ドキュメント評価：\n情報の消費者の立場に終始するのではなく、コミュニティへの貢献者としての役割を果たすため、ISAC等の業界団体やコミュニティへ参加し、運営や活動に貢献していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。\n協力体制への参加により、セキュリティ確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティ改善アクションの効果・効率が高まり、結果としてソフトウェアの品質と組織のレジリエンスが向上することを想定する。","■コミュニティの運営や活動への貢献実績を示すドキュメント\n・運営や活動の記録（例：ワーキンググループへの参加、レポートの共同執筆、イベントでの登壇、運営委員としての活動、取りまとめ要員の派遣、賛同資金の提供等）\n・自社情報の公表の判断結果（例：自社製品の脆弱性、自社で観測した（ただし個社や個人が特定されないよう匿名化・一般化された）脅威情報、攻撃の予兆、インシデントの教訓など）\n・必要に応じてJPCERT/CC等への脆弱性届出・公表の記録\n・コミュニティのメーリングリストや情報共有インフラへの投稿記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(5)-2.2","S(5)-2.2.1","S(5)-2.2.1.2",null,null,"業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","―","○","○","○",null,"協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。"]
["S(6)-1.1.1.1.1","最低限/標準","オーナーシップを持つシステム及びソフトウェアのリスク管理の責任について（顧客の）経営層がコミットしていること。","ドキュメント評価： \nインタビュー評価： \n顧客経営層のリーダーシップにより、自組織がオーナーシップを持つシステム全体及びソフトウェアのリスク管理を顧客自ら主体的に行う取組方針を整備することについて、経営層が責務として認識し実施していることについて、「確認すべきエビデンス」欄に示すドキュメント、及び経営層へのインタビューをエビデンスとして評価する。」","■システム及びソフトウェアのリスク管理に対する経営層のコミットメントに関するドキュメント\n・システム及びソフトウェアのリスク管理に対する組織としての取組方針（例：社内通達での経営メッセージ、組織としてのセキュリティポリシー）、及びロードマップ（調達（購入）基準へのセキュアバイデザイン・セキュアバイデフォルト慣行の採用方針）\n\n■経営層へのインタビュー\n・ソフトウェアのセキュリティに関するリスク管理の欠如（例：脆弱性の残存などによるビジネス損失）、及び主体的なセキュアバイデザイン・セキュアバイデフォルト慣行によるリスク軽減（例：脆弱性の早期発見などによるビジネス損失の防止）に関する経営層の認識","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.1","S(6)-1.1.1.1","評価項目１：リスク管理の責任について経営層のコミットメントを得ていること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","顧客がオーナーシップを持つシステム全体及びソフトウェアのリスク管理に対して顧客自身が責任を持ち、独立した主体的な取組を実施していること。","―",null,null,null,"○","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"]
["S(6)-1.1.1.2.1","最低限/標準","システム及びソフトウェアのリスク管理を（顧客が）独立かつ主体的に実施している資料や情報がある。","ドキュメント評価： 自組織がオーナーシップを持つシステム全体及びソフトウェアのリスク管理を顧客自ら主体的に行うことについて、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■システム・ソフトウェアのリスク管理に対する主体的な取組を示すドキュメント\n・経営層（経営トップ、上級マネジメント、承認権限者など）へのリスク識別及びリスク軽減に関する報告（リスク分析結果やリスク管理の取組方針の説明等）\n・経営層での報告や議論の記録（会議録等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.1","S(6)-1.1.1.2","評価項目２：リスク管理を独立かつ主体的に実施していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","顧客がオーナーシップを持つシステム全体及びソフトウェアのリスク管理に対して顧客自身が責任を持ち、独立した主体的な取組を実施していること。","―",null,null,null,"○","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"]
["S(6)-1.1.2.1.1","最低限/標準","リスク管理上重要な事業者と、明確な責任分担と契約に基づきリスク管理を実施している資料や情報がある。","ドキュメント評価： \n顧客経営層のリーダーシップにより、取引先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、契約により取り決めた手続に従ってリスクを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","■事業者との責任分担と契約に関するドキュメント\n・ソフトウェア・システムのセキュアな調達・運用に関するドキュメント（例：基本方針、役割分担、セキュリティ確保・維持のための方針及び手続、予算化手続）\n■契約に基づき事業者と役割分担してシステム及びソフトウェアのリスク管理を実施した記録\n・リスク管理イベント記録（インシデント対応、脆弱性対応等）\n・ソフトウェアの脆弱性の疑いに関する事業者への情報提供の記録\n・リスク対応の一環で権限に基づいてソフトウェアを更新した記録\n・EOL/EOSに基づく計画及び対応（更新又はサービス移行等）の記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","―",null,null,null,"○","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"]
["S(6)-1.1.2.1.2","標準","ソフトウェア・システムを調達する場合、顧客と供給者のセキュリティに関する責任を明確にし、透明性の高い事業者を優先的に採用したことを示す資料や情報がある。","ドキュメント評価： \n顧客経営層のリーダーシップにより、ソフトウェア・システム調達先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、透明性の高い事業者を優先的に採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","■事業者との責任分担と契約に関するドキュメント\n・ソフトウェア製品利用において役割分担を明確にするための契約等のドキュメント（例：保守契約、使用許諾契約、リリースノート、サポート窓口、エスカレーションフロー、製品ライフサイクルロードマップ、サポートマトリクス（動作環境等）、EOL/EOS通知期間、構成情報（SBOM等を含む）、更新に関する権限及び手続、脆弱性開示ポリシー、脆弱性対応手続（目標期間（タイムライン）等）、その他セキュアな利用上の注意点）\n■事業者の採用根拠に関する記録\n・ソフトウェア・システム調達の採用根拠等の記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","―",null,null,null,"○","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"]
["S(6)-1.1.2.1.3","標準","システム運用・保守サービスを利用する場合、運用・保守委託先事業者と、インシデント対応・脆弱性対応・役割分担を含む契約を締結したことを示す資料や情報がある。","ドキュメント評価： \n顧客経営層のリーダーシップにより、システム運用・保守サービス先であるサイバーインフラ事業者と、インシデント対応、脆弱性対応を含む運用・保守の責務と役割を明確化し、契約により取り決めた手続に従ってリスクを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","■事業者との責任分担と契約に関するドキュメント\n・システムの運用・保守において役割分担を明確にするための契約等のドキュメント（例：運用・保守契約（責任境界定義、カスタムコードに対する契約不適合責任期間・有償保守等の特約を含む）、基本サービス契約、サービスレベル契約、構成管理台帳（SBOM等を含む）、インシデント対応の役割分担と対応方針、セキュリティ確保（脆弱性対応含む）の役割分担と対応方針）\n■事業者の採用根拠に関する記録\n・システム運用・保守サービスの採用根拠の記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","―",null,null,null,"○","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"]
["S(6)-1.1.2.1.4","標準","クラウドサービスを利用する場合、責任共有モデルに基づいて顧客と供給者のセキュリティに関する責任を明確にし、透明性の高いクラウド事業者を優先的に採用したことを示す資料や情報がある。","ドキュメント評価： \n顧客経営層のリーダーシップにより、クラウドサービスの取引先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、透明性の高い事業者を優先的に採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","■事業者との責任分担と契約に関するドキュメント\n・クラウドサービス利用において役割分担を明確にするための契約等のドキュメント（例：基本契約書・利用規約（責任共有モデルを前提とした責任境界定義、データ所有権・利用権、免責事項・賠償上限、準拠法・管轄裁判所、監査条項等）、各種ポリシー（パッチ適用責任等の運用、サポート、プライバシー、ライフサイクル等）、サービスレベル契約、サービス仕様書・説明書、セキュリティレポート（ホワイトペーパー、SOC2レポート、ISMAP登録証等）、インシデント対応の役割分担と対応方針、セキュリティ確保（脆弱性対応含む）の役割分担と対応方針）\n■事業者の採用根拠に関する記録\n・クラウドサービスの採用根拠等の記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","―",null,null,null,"○","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"]
["S(6)-1.2.1.1.1","最低限/標準","導入ソフトウェアのセキュリティ確保のための要件/基準と検証方法を定め、契約（締結済み又は締結予定の）事業者にエビデンスを要求したことを示す資料や情報がある。","ドキュメント評価： \nソフトウェア・システムのセキュアな調達・運用のため、ソフトウェアのセキュリティ確保・維持のための要件/基準・検証方法に関する手続等を整備するとともに、契約に基づき事業者にエビデンスを要求することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■要件/基準・検証方法に関するドキュメント\n・ソフトウェア・システムのセキュアな調達・運用に関するドキュメント（ソフトウェアのセキュリティ確保・維持のための要件/基準・検証方法に関する手続等）\n・ソフトウェアのセキュリティ確保のための要件/基準・検証方法に関する記述\n・ソフトウェアのセキュリティ実装に係る証明情報（SBOM、SSDFの実装の適合性を証明する自己適合証明書など）","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","―",null,null,null,"○","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"]
["S(6)-1.2.1.1.2","最低限/標準","導入ソフトウェアの更新ポリシー及びサポート期限に基づく運用計画及び体制に関する資料や情報がある。","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、ソフトウェア・システムをセキュアに維持するため、導入ソフトウェアの更新ポリシーおよびサポート期限に関する運用計画と運用体制を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","■運用計画及び体制に関するドキュメント\n・ソフトウェアの運用計画及び体制","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","―",null,null,null,"○","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"]
["S(6)-1.2.1.1.3","最低限/標準","導入ソフトウェアの既知の脆弱性への対処や緩和策を主体的に実施するための方針及び担当割当に関する資料や情報がある。","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施するための計画および体制を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■脆弱性対処のためのリソースに関するドキュメント\n・脆弱性対処を継続的かつ主体的に実施するための計画及び体制","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","―",null,null,null,"○","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"]
["S(6)-1.2.1.1.4","標準","主体的取組を促進するための自組織の管理体制、関連事業者とのコミュニケーションパスを整備している資料や情報がある。","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施するために必要な自組織の体制を整備するとともに、必要な場合は事業者の協力を得るための契約やコミュニケーションパスを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","■自組織の管理体制およびコミュニケーションパスに関するドキュメント\n・継続的な協力体制のベースとなる事業者との契約\n・主体的取組を促進するための自組織の体制\n・関連事業者とのコミュニケーションパス","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","―",null,null,null,"○","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"]
["S(6)-1.2.1.2.1","最低限/標準","導入ソフトウェアの脆弱性に対して主体的に対処した記録がある。","ドキュメント評価： \n導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","■脆弱性対処や緩和策を主体的に実施した記録\n・既存の脆弱性や緩和策に関する実施記録（顧客自身が独自に実施したもの）","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.2","評価項目２：既存の脆弱性や緩和策への主体的な取組に関する記録が存在すること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","―",null,null,null,"○","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"]
["S(6)-1.2.1.2.2","標準","導入ソフトウェアの脆弱性に対して契約（締結済み又は締結予定の）事業者と協力して対処した記録がある。","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施、及び必要な場合は契約に基づき事業者の協力を得て既知脆弱性への対処や緩和策を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","■脆弱性対処や緩和策を主体的に実施した記録\n・既存の脆弱性や緩和策に関する実施記録（契約に基づき事業者の協力を得て実施したもの）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.2","評価項目２：既存の脆弱性や緩和策への主体的な取組に関する記録が存在すること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","―",null,null,null,"○","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"]
["S(6)-1.3.1.1.1","標準","導入ソフトウェアのセキュリティに関する情報を得るためのチャネル参加に関する資料や情報がある。","ドキュメント評価： \n導入したソフトウェアのセキュリティを維持・改善するため、セキュリティに関する情報を取扱うチャネルに参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ情報収集の実績を示すドキュメント\n・参加するチャネル（例：Webサイト）等のリスト","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","―",null,null,null,"○","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"]
["S(6)-1.3.1.1.2","標準","ソフトウェアセキュリティに関するコミュニティや協力体制への参加に関する資料や情報がある。","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コミュニティからの情報収集の実績を示すドキュメント\n・参加するコミュニティ・協力体制と登録者のリスト\n・会合やトレーニングの参加報告","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","―",null,null,null,"○","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"]
["S(6)-1.3.1.1.3","標準","コミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善した記録がある。","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■自組織の改善への活用実績を示すドキュメント\n・セキュリティ対策に関する外部情報の活用に関する手順書、セキュリティ対策の評価結果（例：インシデント対応手順の更新、監視ルールの更新）\n・導入ソフトウェアのセキュリティ確保のためのプロセス改善等に活用した記録","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","―",null,null,null,"○","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"]
["S(6)-1.3.1.2.1","標準","コミュニティへのリソース提供、及び支援活動への参加に関する資料や情報がある。","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。コミュニティへの貢献者としての役割を果たすため、協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加し、情報共有や活動支援を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コミュニティへの貢献を示すドキュメント\n・コミュニティを支援する活動の実施記録\n・コミュニティを介して共有展開する目的で提供した情報","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.2","評価項目２：コミュニティに対して積極的に貢献していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","―",null,null,null,"○","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"]
["S(6)-1.3.1.2.2","標準","コミュニティに対して提供したセキュリティ改善への貢献が見込まれる資料や情報がある。","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。コミュニティへの貢献者としての役割を果たすため、協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■コミュニティへの貢献を示すドキュメント\n・コミュニティを介して提供したセキュリティ改善への貢献が見込まれる情報（脅威情報、インシデント情報、セキュアな設定・運用に関するベストプラクティスに関する情報等）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.2","評価項目２：コミュニティに対して積極的に貢献していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","―",null,null,null,"○","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"]
["S(6)-2.1.1.1.1","最低限/標準","ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義した資料がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ要件の定義に関するドキュメント\n・セキュリティ機能に関するセキュリティ要件","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","―",null,null,null,"○","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"]
["S(6)-2.1.1.1.2","標準","セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義した資料がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ要件の定義に関するドキュメント\n・リスク緩和のためのセキュリティ要件（リスク緩和のための機能、環境、運用、サプライチェーン等に係るセキュリティ要件）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","―",null,null,null,"○","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"]
["S(6)-2.1.1.1.3","標準","当局や信頼できる外部組織が整備したプロファイルに基づいて、ソフトウェアのセキュリティ要件を定義した資料がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、当局や信頼できる外部組織が整備したプロファイルに基づき、ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ要件の定義に関するドキュメント\n・外部プロファイル（リスクプロファイル、セキュリティプロファイル、プロテクションプロファイル、その他自組織の業務等が満たすべき標準や法令などを踏まえたプロファイル及び要件セット等）に基づくセキュリティ要件","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","―",null,null,null,"○","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"]
["S(6)-2.1.1.2.1","最低限/標準","RFPとして、定義したセキュリティ要件を提示した資料や情報がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、RFPとして導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、定義したセキュリティ要件を事前に提示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの導入構想段階、又はシステム計画の構想段階の場合（この場合は、RFPの策定前と考えられる）、構想段階で合わせて検討すべきセキュリティに関する方針整理など、事前に準備すべきドキュメントを評価する。","■調達・導入前に事業者にセキュリティ要件を提示したドキュメント\n・RFPに関する資料（例：調達仕様書・要件定義書等（定義したセキュリティ要件を含む））","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.2","評価項目２：セキュリティ要件を調達・導入前に事業者に提示していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","―",null,null,null,"○","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"]
["S(6)-2.1.1.2.2","標準","RFIとして、定義したセキュリティ要件を提示した資料や情報がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、RFIとして導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、定義したセキュリティ要件を事前に提示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの導入構想段階、又はシステム計画の構想段階の場合（この場合は、RFIの策定前と考えられる）、構想段階で合わせて検討すべきセキュリティに関する方針整理など、事前に準備すべきドキュメントを評価する。","■調達・導入前に事業者にセキュリティ要件を提示したドキュメント\n・RFIに関する資料（定義したセキュリティ要件を含む）","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.2","評価項目２：セキュリティ要件を調達・導入前に事業者に提示していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","―",null,null,null,"○","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"]
["S(6)-2.2.1.1.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルト慣行に力点を置いた調達（購入）基準を整備した資料や情報がある。","ドキュメント評価： \nソフトウェア製品の導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、要求するセキュアバイデザイン・セキュアバイデフォルト慣行等に関する調達（購入）基準を事前に整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■セキュリティ慣行を求めるソフトウェア調達（購入）基準に関するドキュメント\n・ソフトウェアの開発・供給・運用の役割を担当する事業者に求めるセキュアバイデザイン慣行の記述（設計段階からセキュリティを考慮、セキュアな利用・運用が可能、コードベース対象の脆弱性対応や想定内のインシデント対応等に追加コストが発生しない、等）\n・ソフトウェアの開発・供給・運用の役割を担当する事業者に求めるセキュアバイデフォルト慣行の記述（デフォルト状態でセキュリティ機能やセキュリティ設定を提供、セキュアな利用・運用をデフォルトで強制、等）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.2","S(6)-2.2.1","S(6)-2.2.1.1","評価項目１：セキュリティ慣行の要求を整備していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示していること。","―",null,null,null,"○","セキュリティ慣行の要求開示","ソフトウェアの調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示する。"]
["S(6)-2.2.1.2.1","最低限/標準","ソフトウェア調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示した資料や情報がある。","ドキュメント評価：\nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、調達・導入先もしくは委託先候補となるサイバーインフラ事業者に対して、要求するセキュアバイデザイン・セキュアバイデフォルト慣行等を調達・導入前に開示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■調達・導入前に事業者に求めるセキュリティ慣行を開示したドキュメント\n・RFPに関する資料（調達仕様書・要件定義書等（セキュリティ慣行の要求を含む））\n・その他の方法でセキュリティ慣行の要求を開示したドキュメント","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.2","S(6)-2.2.1","S(6)-2.2.1.2","評価項目２：セキュリティ慣行の要求を調達・導入前に開示していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示していること。","―",null,null,null,"○","セキュリティ慣行の要求開示","ソフトウェアの調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示する。"]
["S(6)-2.3.1.1.1","最低限/標準","ソフトウェアの調達・導入前に、事業者に必要な資料や情報を要求し、業務特性を踏まえたリスクに基づくセキュリティ評価を実施することを定めたポリシーに関する資料や情報がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、業務特性を踏まえたリスクに基づいてセキュリティを評価する調達・導入ポリシーを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの調達・導入に関するドキュメント\n・ソフトウェア調達・導入ポリシー（業務特性を踏まえた事前のセキュリティ評価、及びリスク評価の義務付け）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.3","S(6)-2.3.1","S(6)-2.3.1.1","評価項目１：調達・導入前にリスク評価を行うことを義務付けたポリシーが存在すること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","―",null,null,null,"○","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。"]
["S(6)-2.3.1.2.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルトの慣行に力点を置いた調達（購入）基準に基づき、ソフトウェアの調達・導入を優先するポリシーに関する資料や情報がある。","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、セキュアバイデザイン、セキュアバイデフォルトの慣行に則った開発・サポートが保証された製品であること、又は同慣行に従うことを保証するサイバーインフラ事業者であることを優先する調達・導入ポリシーを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの調達・導入に関するドキュメント\n・ソフトウェア調達・導入ポリシー（セキュリティ慣行を保証する事業者を優先）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.3","S(6)-2.3.1","S(6)-2.3.1.2","評価項目２：セキュリティ慣行を保証する事業者を優先するポリシーが存在すること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","―",null,null,null,"○","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。"]
["S(6)-2.3.1.3.1","最低限/標準","ポリシーに従い、ソフトウェア調達・導入の意思決定に必要なリスク判断を正式に文書化し、経営者が承認した資料や情報がある。","ドキュメント評価：\nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、業務特性を踏まえたリスクに基づいてセキュリティを評価する調達・導入ポリシーに基づき、適正なリスク判断を行い、そのリスク判断を経営層が承認したうえで調達・導入することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■ソフトウェアの調達・導入に関する記録\n・ソフトウェア調達・導入に係る稟議結果（調達・導入の意思決定の根拠として、ポリシーに準拠すること、リスク評価に基づく判断（セキュリティ慣行等の要求を満たさない場合の採用に関するリスク判断を含む）、及び調達・導入の承認を含む）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.3","S(6)-2.3.1","S(6)-2.3.1.3","評価項目３：ポリシーに基づくリスク判断を行い、ソフトウェアの調達・導入を実施していること。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","―",null,null,null,"○","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。"]
["S(6)-2.4.1.1.1","最低限/標準","自組織のリスク分析に基づきソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定した資料や情報がある。","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■サイバーセキュリティに関する残存リスク対策に関するドキュメント\n・リスク分析結果に基づくリスク緩和策\n・セキュリティリスクに対する例外措置\n・セキュリティリスクに対する例外措置の根拠（リスク軽減、移転、保持の効果判定など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.1","評価項目１：サイバーセキュリティに関する残存リスク軽減の方策を検討していること。","サイバーセキュリティ経営ガイドライン：指示3","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","―",null,null,null,"○","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"]
["S(6)-2.4.1.2.1","最低限/標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算要求に関する記録がある。","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を要求することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■経営層への予算申請に関するドキュメント\n・経営層向けのリスク軽減策に関する予算申請（例：人件費、教育費、ツール費用等のコストと投資対効果）の記録","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.2","評価項目２：リスク軽減策の実施に必要な予算の申請手続が存在すること。","サイバーセキュリティ経営ガイドライン：指示3","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","―",null,null,null,"○","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"]
["S(6)-2.4.1.2.2","標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算の申請手続に関する資料や情報がある。","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保する手続きを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■経営層への予算申請に関するドキュメント\n・リスク対応に必要な予算を申請する場合の手続き","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.2","評価項目２：リスク軽減策の実施に必要な予算の申請手続が存在すること。","サイバーセキュリティ経営ガイドライン：指示3","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","―",null,null,null,"○","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"]
["S(6)-2.4.1.3.1","最低限/標準","セキュリティ活動のための予算が承認されていることを示す記録がある。","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■予算の実行状況に関するドキュメント\n・セキュリティ関連の予算の承認記録（計画書、稟議書、予算執行実績など）","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.3","評価項目３：予算とリソースが確保されていること。","サイバーセキュリティ経営ガイドライン：指示3","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","―",null,null,null,"○","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"]
["S(6)-2.4.1.3.2","標準","中長期的なセキュリティ対策方針に基づいた予算が経営方針として示された資料や情報がある。","ドキュメント評価： \n中長期的なセキュリティ対策方針に基づいたソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","■予算の実行状況に関するドキュメント\n・中長期的なセキュリティ対策方針に基づいた予算化に関する経営方針","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.3","評価項目３：予算とリソースが確保されていること。","サイバーセキュリティ経営ガイドライン：指示3","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","―",null,null,null,"○","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"]

{"sheet":"qryFiltered","index":5,"n_rows":303,"n_cols":19,"rows_kept":303,"cut":false,"hidden":true,"merged":[]}
["評価ID","評価レベル","評価内容","要求ID","個別要求タイトル","個別要求","確認項目ID","確認項目","ソフトウェア種別","役割.開発者","役割.供給者","役割.運用者","役割.顧客","評価項目ID","評価項目","確認すべきエビデンス","評価方法概説","合否判定概説","参照すべき規程・ガイドとの関係"]
["S(1)-1.1.1.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスク評価に関する資料や情報がある。","S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","-","○",null,null,null,"S(1)-1.1.1.1","評価項目１：リスクの分析・評価の結果が存在すること。","■リスク評価の手続き、及び結果のドキュメント\n・リスク分析・評価を実施可能とするための手続き（規程、実施手順など）\n・ソフトウェア、及び扱うデータの識別・分類とそのリスク判定結果\n・リスク有りと判定したソフトウェアコンポーネントやデータに対する対応策の検討結果","ドキュメント評価：\n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアにおけるセキュリティリスクを識別するために、リスク分析・評価の手続き整備し、その手続きに基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、実施済みの評価方法に関する検討結果など、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.1"]
["S(1)-1.1.1.1.2","標準","ソフトウェアの高リスク領域に関する詳細なリスク評価を実施した資料や情報がある。","S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","-","○",null,null,null,"S(1)-1.1.1.1","評価項目１：リスクの分析・評価の結果が存在すること。","■リスク評価の手続き、及び結果のドキュメント\n・高リスク領域の識別（例：機密データ保護、クレデンシャル管理を含む識別・認証、アクセス制御の保護など）・分類とリスク判定結果\n・リスク有りと判定した高リスク領域のソフトウェアコンポーネントやデータに対する対応策の検討結果","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのうち、高リスク領域を対象としたセキュリティリスクを識別するために、高リスク領域の特性を踏まえた詳細なリスク分析・評価を行う手続きを整備し、その手続きに基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n高リスク領域も含む共通の詳細なリスク分析・評価の手続き・結果となっている場合、高リスク領域を識別する必要はない。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該高リスク領域の特性を踏まえたリスク分析・評価に適用される手続きや、実施済みの評価方法に関する検討結果など、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.1"]
["S(1)-1.1.1.2.1","最低限/標準","リスクモデル（脅威モデル、攻撃モデル）に基づく分析手法を適用している。","S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","-","○",null,null,null,"S(1)-1.1.1.2","評価項目２：リスクの分析・評価の手法が特定していること。","■リスク分析・評価方法に関する検討結果のドキュメント\n・採用したリスクモデル（脅威モデル、攻撃モデルなど）に基づくリスク分析・評価の実施計画、及び実施結果","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェアにおけるセキュリティリスクを識別するために、ソフトウェアの特性に合致したリスクモデルを採用し、リスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価に適用するリスクモデルの採用に関する検討状況など、評価の段階で確認できるドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.1"]
["S(1)-1.1.1.2.2","標準","リスク分析の専門家と共同で作成したリスクモデルを適用している。","S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","-","○",null,null,null,"S(1)-1.1.1.2","評価項目２：リスクの分析・評価の手法が特定していること。","■リスク分析・評価方法に関する検討結果のドキュメント\n・必要に応じて、専門家によるリスクモデルの検討結果","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェアにおけるセキュリティリスクを識別するために、必要に応じてリスク分析の専門家と共同でリスク分析・評価を計画・準備し、その計画に基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの特性や実装方式を鑑み、リスク分析の専門家の協力を得る必要がないと判断する場合は、理由を記載しN/Aとする。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.1"]
["S(1)-1.1.2.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのセキュリティリスク分析・評価に基づいた、リスクの緩和策や例外措置に関する資料や情報がある。","S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","-","○",null,null,null,"S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","■セキュリティリスクの分析・評価に基づく対応策のドキュメント\n・セキュリティリスクの緩和策（対策方針）\n・必要な場合、セキュリティリスクに対する緩和策、例外措置","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスクベースの分析・評価の結果に基づき、セキュリティリスクの緩和策（リスクを低減するための対策方針）、及び必要な場合は例外措置（リスクを条件付きで受容）を検討することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2"]
["S(1)-1.1.2.1.2","標準","セキュリティリスクの緩和策の達成手段に関する資料や情報がある。","S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","-","○",null,null,null,"S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","■セキュリティリスクの分析・評価に基づく対応策の検討に関するドキュメント\n・セキュリティリスクの緩和策の達成手段（例：ソフトウェアの機能、使用法又は環境条件による制約事項）","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェア対して、リスクベースの分析・評価の結果に基づき、セキュリティリスクを低減するための緩和策の達成手段を検討することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2"]
["S(1)-1.1.2.1.3","標準","セキュリティリスクに対する例外措置が存在する場合、その例外措置を承認する際の根拠となる資料や情報がある。","S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","-","○",null,null,null,"S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","■セキュリティリスクの分析・評価に基づく対応策の検討に関するドキュメント\n・セキュリティリスクに対する例外措置の根拠（例：リスク軽減、移転、保持の効果判定）","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェア対して、リスクベースの分析・評価の結果に基づき、セキュリティリスクの緩和策や例外措置を検討し、リスクを条件付きで受容する例外処置を採用する場合は、その例外措置を正式な手続きに基づいて承認するための根拠（許容できるリスクと判断したことの根拠）を明らかにすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2"]
["S(1)-1.1.2.2.1","最低限/標準","セキュリティリスクの緩和策の達成手段を実現するためのソフトウェアのセキュリティ要件を定義した資料がある。","S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","-","○",null,null,null,"S(1)-1.1.2.2","評価項目２：ソフトウェアのセキュリティ要件を定義していること。","■ソフトウェアのセキュリティ要件を定義したドキュメント\n・ソフトウェアの機能に関するセキュリティ要件\n・使用法又は環境条件となるセキュリティ要件","ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアに対して、リスクベースの分析・評価の結果に基づき、検討したセキュリティリスクの緩和策（対策方針）の達成手段を実現するためのソフトウェアのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価に基づくセキュリティ要件の定義前と考えられる）、当該セキュリティ要件の定義や設計上の決定に適用する手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2"]
["S(1)-1.2.1.1.1","最低限/標準","設計がセキュリティ要件を満たすことが確認できるレビューの観点及び方法を適用している。","S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","-","○",null,null,null,"S(1)-1.2.1.1","評価項目１：設計レビューの観点と方法を特定していること。","■設計レビュー方針のドキュメント\n・設計レビューの観点（例：セキュリティ要件に対する設計の充足性）\n・設計レビューの方法（例：ピアレビュー、リードレビュー、ウォークスルー、有資格者によるレビュー、ツールチェーンに組み込まれた自動化されたプロセスによるレビュー）","ドキュメント評価： \nソフトウェアの設計が、定義した全てのセキュリティ要件を満たすことが確認できる設計レビューの観点及び方法を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.2.1"]
["S(1)-1.2.1.1.2","最低限/標準","設計がセキュリティリスクの緩和に効果があることが確認できるレビューの観点及び方法を適用している。","S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","-","○",null,null,null,"S(1)-1.2.1.1","評価項目１：設計レビューの観点と方法を特定していること。","■設計レビュー方針のドキュメント\n・設計レビューの観点（例：アーキテクチャの有効性、重要コードの仕様に対する準拠性、識別された脆弱性への対応、識別されたセキュリティリスクへの対応）\n・設計レビューの方法（例：ピアレビュー、リードレビュー、ウォークスルー、有資格者によるレビュー、ツールチェーンに組み込まれた自動化されたプロセスによるレビュー）","ドキュメント評価： \n識別されたセキュリティリスクや脆弱性へのソフトウェア設計上の対応が適切であり（ソフトウェアの特性や開発環境に対して合理的な設計レビューの計画を立て、所定の期間で実施可能であること）、かつセキュリティリスクの緩和に効果があること（セキュリティ要件への対応状況、及び識別したリスクへの対応状況が設計レビューにより確認可能な方法であること）が確認できる設計レビューの観点及び方法を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.2.1"]
["S(1)-1.2.1.2.1","最低限/標準","特定した設計レビューの観点及び方法に基づいて設計レビューを実施した資料や情報がある。","S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","-","○",null,null,null,"S(1)-1.2.1.2","評価項目２：設計レビューの結果が存在すること。","■設計レビューの計画、及び結果のドキュメント\n・設計レビューに適用した方針（観点及び方法）に基づく具体的な設計レビュー計画\n・セキュリティ要件への対応に関する設計レビュー結果\n・セキュリティリスクへの対応に関する設計レビュー結果\n・設計レビュー指摘事項","ドキュメント評価： \nソフトウェアの設計が、定義した全てのセキュリティ要件を満たすこと、識別されたセキュリティリスクや脆弱性への設計上の対応が適切であることを確認するために、選定した設計レビューの観点及び方法に従って設計レビューを実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.2.1"]
["S(1)-1.2.2.1.1","最低限/標準","ソフトウェア設計における設計レビューの指摘事項等の結果を反映するために、設計の修正を実施した資料や情報がある。","S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.2","ソフトウェア設計において、レビュー結果を設計修正やリスク対応の変更等として反映していること。","-","○",null,null,null,"S(1)-1.2.2.1","評価項目１：設計レビュー結果に基づいた設計修正の対応記録が存在すること。","■設計修正の履歴及び修正内容のドキュメント\n・設計レビューの指摘事項に対応した設計修正の履歴、及び修正内容","ドキュメント評価： \n対象とするソフトウェア設計の設計レビュー結果を反映し、設計修正を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、当該設計レビュー結果の反映時に適用する手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.2.1"]
["S(1)-1.2.2.2.1","最低限/標準","設計レビュー結果を反映するために、設計修正以外にリスク対応戦略を変更する必要が生じた場合、そのリスク対応戦略の変更を実施した資料や情報がある。","S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.2","ソフトウェア設計において、レビュー結果を設計修正やリスク対応の変更等として反映していること。","-","○",null,null,null,"S(1)-1.2.2.2","評価項目２：設計レビュー結果に基づいたリスク対応戦略の変更に関する記録が存在すること。","■リスク対応戦略の変更の検討結果のドキュメント\n・リスクモデルの変更、及び/又はリスク分析・評価方法の変更に伴うリスク対処に関する検討結果","ドキュメント評価： \n対象とするソフトウェア設計の設計レビュー結果を反映するために、設計修正以外に、リスクモデルやリスク分析・評価方法の変更に関する検討を行い、リスク対応戦略を変更することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、当該設計レビュー結果の反映時に適用する手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.2.1"]
["S(1)-1.3.1.1.1","標準","定義されたソフトウェアのセキュリティ要件に基づくソフトウェアのリスク対応活動において証拠として利用可能な、設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びとそれらの根拠に関する記録がある。","S(1)-1.3","リスク対応記録","設計上の決定事項、リスクへの対応、承認された例外措置に関する記録を保持し、ソフトウェアのライフサイクル全体を通じて監査や保守の目的で使用できるように維持する。","S(1)-1.3.1","設計上の決定事項、リスク軽減の達成方法、承認された例外措置に関する記録をソフトウェアライフサイクル全体を通じて監査・保守目的で使用されるよう維持管理・共有していること。","-","○",null,null,null,"S(1)-1.3.1.1","評価項目１：ソフトウェアの設計に関係するリスク対応活動の記録が存在すること。","■リスク対応活動で活用可能とするソフトウェアの設計に係る記録\n・設計上の決定事項とその根拠に関する記録\n・ソフトウェアが関係するリスク緩和策の達成手段とその根拠に関する記録\n・ソフトウェアが関係する例外措置とその、根拠、及び承認履歴に関する記録","ドキュメント評価： \n定義されたソフトウェアのセキュリティ要件に基づく設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びそれらの根拠を記録することで、ソフトウェアライフサイクル全体のリスク管理活動において活用可能とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示す記録をエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク対応活動の実施前と考えられる）、当該リスク対応活動記録の維持管理・共有に適用する手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2"]
["S(1)-1.3.1.2.1","標準","ソフトウェアのリスク対応活動に関する記録を、ソフトウェアライフサイクル全体で維持管理し、監査や保守の活動で活用可能とするための手続きや仕組みに関する資料や情報がある。","S(1)-1.3","リスク対応記録","設計上の決定事項、リスクへの対応、承認された例外措置に関する記録を保持し、ソフトウェアのライフサイクル全体を通じて監査や保守の目的で使用できるように維持する。","S(1)-1.3.1","設計上の決定事項、リスク軽減の達成方法、承認された例外措置に関する記録をソフトウェアライフサイクル全体を通じて監査・保守目的で使用されるよう維持管理・共有していること。","-","○",null,null,null,"S(1)-1.3.1.2","評価項目２：リスク対応活動の記録を維持管理・共有していること。","■リスク対応活動記録の維持管理・共有に関するドキュメント\n・リスク対応活動記録を維持管理するための手段・仕組み\n・ソフトウェアのリスク対応活動記録を設計者及び関連担当者（監査者、保守担当者など）間で共有するための手段・仕組み\n・ソフトウェアのリスク対応活動の記録が監査や保守の目的で利用された証拠となる記録","ドキュメント評価： \n開発するソフトウェアに係るリスク対応活動の記録を、ソフトウェアライフサイクル全体で維持管理するために必要な手続きや仕組みを整備するとともに、開発するソフトウェアに係る監査や保守の活動においても活用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク対応活動の実施前と考えられる）、当該リスク対応活動記録の維持管理・共有に適用する手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2"]
["S(1)-1.4.1.1.1","標準","リスクモデルの妥当性、及びリスク分析・評価結果に基づくセキュリティリスクの緩和策、及び例外処置の妥当性に関する定期的なレビューの手続き、及び結果に関する資料や情報がある。","S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","-","○",null,null,null,"S(1)-1.4.1.1","評価項目１：リスク分析・評価結果の定期的なレビュー結果が存在すること。","■リスクモデル、及びリスク分析・評価のレビュー手続き、及びレビュー結果のドキュメント\n・リスクモデル、及びリスク分析・評価結果の定期的なレビューに関する手続き\n・リスクモデルのレビュー結果（例：リスクモデルの見直し等の指摘事項）\n・リスク分析・評価結果のレビュー結果（例：リスク分析・評価の再確認等の指摘事項）","ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、採用したリスクモデルの定期的なレビューを実施し、リスクモデルの妥当性を確認すること、及びリスク分析・評価の結果の定期的なレビューを実施し、セキュリティリスクの緩和策、及び例外処置の妥当性を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクモデルの定期的な確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2、PW.2.1"]
["S(1)-1.4.1.2.1","標準","ソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。","S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","-","○",null,null,null,"S(1)-1.4.1.2","評価項目２：セキュリティリスクの対処方法の定期的な確認結果が存在すること。","■定期的なセキュリティリスクの対処方法の確認結果のドキュメント\n・セキュリティリスクの緩和策の確認結果（例：緩和策の見直し等の指摘事項）\n・セキュリティリスクの例外措置の確認結果（例：例外措置の見直し等の指摘事項）","ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、採用したリスクモデル、及びリスク分析・評価結果の定期的なレビューの結果を踏まえて、セキュリティリスクの緩和策の達成手段であるソフトウェア設計がセキュリティリスクの対処方法として妥当であることを確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの分析・評価結果の定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2、PW.2.1"]
["S(1)-1.4.1.2.2","標準","必要な場合、セキュリティ要件に対するソフトウェアの設計への反映を実施した資料や情報がある。","S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","-","○",null,null,null,"S(1)-1.4.1.2","評価項目２：セキュリティリスクの対処方法の定期的な確認結果が存在すること。","■設計修正の履歴及び修正内容のドキュメント\n・（必要な場合）定期的なセキュリティリスクの対処方法の確認結果に対応したソフトウェアの設計修正の履歴、及び修正内容","ドキュメント評価： \nソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認の結果、リスク環境の変化等が及ぼす影響等を踏まえ、セキュリティ要件を満たすために必要と判断した場合、リスク対処のためのソフトウェア設計を見直すことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの分析・評価結果の定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2、PW.2.1"]
["S(1)-1.4.2.1.1","標準","セキュリティ要件に対する例外処置がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。","S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.2","セキュリティ要件に対する全ての例外処置を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認していること。","-","○",null,null,null,"S(1)-1.4.2.1","評価項目１：例外処置によるリスクの対処方法の定期的な確認結果が存在すること。","■定期的な例外措置の確認結果のドキュメント\n・セキュリティリスクに対する例外処置、根拠（例：リスク軽減、移転、保有の効果判定）の再評価結果","ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、セキュリティ要件に対する例外処置の定期的な確認を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2"]
["S(1)-1.4.2.1.2","標準","必要な場合、セキュリティ要件に対する例外処置によるセキュリティリスクへの対処方法の変更を承認し、変更を実施した資料や情報がある。","S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.2","セキュリティ要件に対する全ての例外処置を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認していること。","-","○",null,null,null,"S(1)-1.4.2.1","評価項目１：例外処置によるリスクの対処方法の定期的な確認結果が存在すること。","■定期的な例外措置の確認結果のドキュメント\n・（必要な場合）リスク対処方法の変更の承認履歴\n・（必要な場合）リスク対処方法の変更を実施した変更履歴、及び変更内容（例：セキュリティリスクに対する見直された例外処置、セキュリティリスク緩和策となるソフトウェア設計の修正）","ドキュメント評価： \nセキュリティ要件に対する例外処置の定期的な確認の結果、リスク環境の変化等が及ぼす影響を考慮する必要があると判断した場合、セキュリティリスクへの対処方法を見直し、その変更を承認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.2"]
["S(1)-2.1.1.1.1","最低限/標準","適用する開発言語・開発環境に、ビルド時に組み込まれるおそれのある脆弱性が含まれないことをチェックする手続きに関する資料や情報がある。","S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","-","○",null,null,null,"S(1)-2.1.1.1","評価項目１：適用する開発言語・開発環境が関連する脆弱性をチェックしていること。","■脆弱性チェック手続きのドキュメント\n・ツール（開発言語・開発環境など）に関連する脆弱性を事前にチェックする手続き（例：リリースノート等に記載された禁止された使用法、適用すべきパッチに関連する脆弱性、ビルド時の中間生成物や成果物に影響を与える脆弱性（メモリセーフ機能や暗号機能の誤使用等）、使用時に考慮すべき脆弱性（依存ライブラリやツール自身の脆弱性等）など）","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発に適用する開発言語や開発環境自体、もしくはそれらをビルドで使用する際に、ビルド時に組み込まれるおそれのある脆弱性が含まれていないことをチェックすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1、PW.6.1"]
["S(1)-2.1.1.2.1","標準","開発言語・開発環境の選定・更新の手続き、選定基準、更新基準に関する資料や情報がある。","S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","-","○",null,null,null,"S(1)-2.1.1.2","評価項目２：開発言語・開発環境の選定・更新プロセスを定義していること。","■ツールの選定・更新プロセスに関するドキュメント\n・開発に使用するツールの選定・更新に関する手続き\n・ツールの選定・更新に関連する基準の定義","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発言語や開発環境を選定・更新する際に適用する手続き、及び基準を定めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1、PW.6.1"]
["S(1)-2.1.1.3.1","最低限/標準","適用する開発言語・開発環境において、実装に影響を与えるオプション設定を含む使用法に関する資料や情報がある。","S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","-","○",null,null,null,"S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","■セキュアビルドプロセスを定義したドキュメント\n・ツールの使用法（実装に依存するオプションの定義を含む）","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発言語や開発環境を使用する際に、ソフトウェアの実装に影響を与える開発言語や開発環境のオプションを正しく設定することを含む使用法を定め、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1、PW.6.1"]
["S(1)-2.1.1.3.2","最低限/標準","適用する開発言語・開発環境を使用することにより、識別した脆弱性がビルド時に組み込まれることを回避できる手続きに関する資料や情報がある。","S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","-","○",null,null,null,"S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","■セキュアビルドプロセスを定義したドキュメント\n・ツールの利用手続き（ビルド方法、ビルド実施タイミングを含む）\n・ツールの利用に関するトレーニングプログラム\n・（適用している場合）DevOpsあるいはDevSecOpsの各工程を自動化するツール等によるツールチェーンを適用した開発環境の利用手続き","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、識別した脆弱性がビルド時に組み込まれることを回避できる手続きを採用することにより、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1、PW.6.1"]
["S(1)-2.1.1.3.3","標準","ビルドツールを導入・更新するための変更管理手続き、ツールの真正性と整合性を継続的又は定期的に検証する手続き、及びこれらの実施体制に関する資料や情報がある。","S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","-","○",null,null,null,"S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","■セキュアビルドプロセスを定義したドキュメント\n・ツールの導入・更新に関する変更管理手続き・ツールの真正性と整合性の継続的又は定期的な検証に関する手続き\n・ツールの導入・更新、検証の手続きを実施する体制","ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、ビルドツールを導入・更新するための変更管理手続き、ビルドツールの真正性（信頼できる正しいツールであること）と整合性（ツールに改ざんや破損がないこと）を継続的又は定期的に検証する手続きを整備するとともに、これらの手続きを実施するための体制を整備することにより、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1、PW.6.1"]
["S(1)-2.1.2.1.1","最低限/標準","適用する開発言語と開発環境に適したセキュアコーディングの指針、及びツールを定義した資料や情報がある。","S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.2","開発言語・開発環境に適したセキュアコーディングのためのプロセスを定義していること。","-","○",null,null,null,"S(1)-2.1.2.1","評価項目１：適用するセキュアコーディングプロセスを定義していること。","■セキュアコーディングプロセスを定義するドキュメント\n・セキュアなコードとするための原則・規則に関する参照すべき慣行\n・組織が定めるセキュアコーディング標準\n・組織が定めるコーディング・レビューに関する規定\n・適用する開発言語のセキュアな使用法\n・適用する開発環境（ツール等）のコード生成に係るセキュアな使用法\n・DevOpsあるいはDevSecOpsの各工程を自動化するツール等によるツールチェーンを適用した開発環境のコード生成に係るセキュアな使用法\n\n■実装標準への準拠要求に関するドキュメント\n・セキュアコーディングプロセスで定義した実装標準","ドキュメント評価： \nソフトウェアの設計・開発中にソースコードなどのコードベースに混入する脆弱性を抑止するために、開発するソフトウェアに適用する開発言語と開発環境に適したセキュアコーディングの指針やツールを定めたセキュアコーディングプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1、OWASP Secure Coding Practices、CERT Coding Standards、IPA セキュアプログラミング講座等"]
["S(1)-2.1.2.1.2","標準","定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境が適用されている。","S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.2","開発言語・開発環境に適したセキュアコーディングのためのプロセスを定義していること。","-","○",null,null,null,"S(1)-2.1.2.1","評価項目１：適用するセキュアコーディングプロセスを定義していること。","■実装標準への準拠要求に対応する機能に関するドキュメント\n・実装標準への準拠要求を満たすための自動化されたツール機能","ドキュメント評価： \nソフトウェアの設計・開発中にソースコードなどのコードベースに混入する脆弱性を抑止するために、定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境を使用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1、OWASP Secure Coding Practices、CERT Coding Standards、IPA セキュアプログラミング講座等"]
["S(1)-2.1.3.1.1","最低限/標準","ソフトウェアのデフォルト状態を安全な状態とするためのデフォルトセキュアとする指針を定義した資料や情報がある。","S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.3","ソフトウェアの利用者向けにデフォルトセキュアな設定を実装するためのプロセスを定義していること。","-","○",null,null,null,"S(1)-2.1.3.1","評価項目１：適用するデフォルトセキュアプロセスを定義していること。","■デフォルトセキュアプロセスを定義するドキュメント\n・デフォルトセキュアな設計・設定とするための原則・規則","ドキュメント評価： \nソフトウェアを出荷する際のデフォルト状態がセキュアな状態となるようにソフトウェアを設計する指針を定めたデフォルトセキュアプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.2"]
["S(1)-2.1.3.1.2","標準","ソフトウェアのデフォルト構成を使用可能な形式で保存し、変更を管理するための指針を定義した資料や情報がある。","S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.3","ソフトウェアの利用者向けにデフォルトセキュアな設定を実装するためのプロセスを定義していること。","-","○",null,null,null,"S(1)-2.1.3.1","評価項目１：適用するデフォルトセキュアプロセスを定義していること。","■デフォルトセキュアプロセスを定義するドキュメント\n・デフォルト構成の保存と変更管理に関する規定","ドキュメント評価： \nソフトウェアのデフォルト構成を使用可能な形式（設定のコードとしての管理等）で保存し、変更を管理するための指針を定めたデフォルトセキュアプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.2"]
["S(1)-2.2.1.1.1","最低限/標準","実行可能形式のセキュリティを向上させる機能を提供するビルドツールを識別・選定した資料や情報がある。","S(1)-2.2","セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。","S(1)-2.2.1","定義したプロセスに従い、開発に適用するツールを選定していること。","-","○",null,null,null,"S(1)-2.2.1.1","評価項目１：定義したプロセスに従って、ツールを選定していること。","■開発に適用する各ツールの識別、選定に関するドキュメント\n・選定した各ツール（開発言語・開発環境（コンパイラ、インタプリタ、ビルドツール等）など）の識別\n・各ツールの選定方法\n・選定した各ツールの選定結果（評価結果、選定理由を含む）","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、セキュアに使用できるツールを選定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツールの採用にあたっては、セキュリティの維持とレジリエンス向上を確保するために更新に関する手続も評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.6.1"]
["S(1)-2.2.1.1.2","標準","選定したビルドツールが、識別した脆弱性を軽減することを示す根拠となる資料や情報がある。","S(1)-2.2","セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。","S(1)-2.2.1","定義したプロセスに従い、開発に適用するツールを選定していること。","-","○",null,null,null,"S(1)-2.2.1.1","評価項目１：定義したプロセスに従って、ツールを選定していること。","■開発に適用する各ツールの識別、選定に関するドキュメント\n・選定した各ツールの脆弱性分析結果（識別した脆弱性を軽減する根拠を含む）","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスのを定義に従い、識別した脆弱性を軽減することに効果があるビルドツールを選定し採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツールの採用にあたっては、セキュリティの維持とレジリエンス向上を確保するために更新に関する手続も評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.6.1"]
["S(1)-2.2.2.1.1","最低限/標準","ビルドツールの使用機能と設定オプションを決定し、承認された構成でビルドした結果の資料や情報がある。","S(1)-2.2","セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。","S(1)-2.2.2","定義したプロセスに従い、開発に適用するツールを使用して、承認された構成に基づきビルドしていること。","-","○",null,null,null,"S(1)-2.2.2.1","評価項目１：定義したプロセスに従って、承認された構成でツールを使用し、実行可能形式をビルドしていること。","■開発に適用する各ツール（コンパイラ、インタプリタ、ビルドツールなど）の構成、設定、利用に関するドキュメント\n・開発に適用する各ツールの構成\n・開発に適用する各ツールの機能とオプションの設定内容\n\n■開発に適用する各ツールの決定、承認の記録\n・開発に適用する各ツールの構成・設定・利用の決定・承認の履歴","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、ビルドツールの使用機能と設定オプションを決定し、承認された構成でツールを使用しビルドすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.6.2"]
["S(1)-2.2.2.1.3","標準","ビルドツールの真正性と整合性の継続的又は定期的な検証に関する記録が存在する。","S(1)-2.2","セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。","S(1)-2.2.2","定義したプロセスに従い、開発に適用するツールを使用して、承認された構成に基づきビルドしていること。","-","○",null,null,null,"S(1)-2.2.2.1","評価項目１：定義したプロセスに従って、承認された構成でツールを使用し、実行可能形式をビルドしていること。","■開発に適用する各ツールの検証の記録\n・開発に適用する各ツールの定期的又は継続的又は継続的な検証結果","ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、ビルドツールの真正性（信頼できる正しいツールであること）と整合性（ツールに改ざんや破損がないこと）の定期的又は継続的又は定期的な検証を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.6.2"]
["S(1)-2.3.1.1.1","最低限/標準","ソフトウェアの段階に応じて、コードレビュー及び/又は分析方法を選択し、レビューを実施するタイミングと方法を定義した資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","-","○",null,null,null,"S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","■コードレビュー・分析の計画に関するドキュメント\n・コードレビュー及び/又はコード分析の計画（タイミング、方法を含む）","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、ソフトウェアのライフサイクルに応じたタイミング・方法で実施する計画を立案することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.1.1.2","最低限/標準","コードレビュー及び/又はコード分析により発見された指摘事項の情報管理に関する資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","-","○",null,null,null,"S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","■コードレビュー・分析の情報管理に関するドキュメント\n・コードレビュー及び/又はコード分析と結果の情報管理（課題追跡システムなどによる分析・レビュー結果の管理）に関する規定・手順","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析により発見した指摘事項を情報管理し、課題追跡において活用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.1.1.3","標準","コードレビュー及び/又はコード分析のどちらを使用すべきかを、組織の定義に従って決定した資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","-","○",null,null,null,"S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","■コードレビュー・分析に関する記録\n・組織の定義にしたがってレビュー方法を決定した記録","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析の手法を、ソフトウェアのライフサイクル全体で一貫したレビューとすることを目的とした組織の定義に従って決定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.1.2.1","最低限/標準","定義されたタイミングと方法に基づき、コードレビュー及び/又はコード分析を実施した資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","-","○",null,null,null,"S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","■コードレビュー・分析結果に関するドキュメント及び記録\n・コードレビュー結果\n・コード分析結果（ツールによる分析結果を含む）\n・発見された指摘事項の情報管理の記録（課題追跡システムなどを含む）","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、計画したタイミング・方法で実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.1.2.2","最低限/標準","必要な場合、サードパーティのコードや社内で再利用するコードに対して、コードレビュー及び/又はコード分析を実施した資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","-","○",null,null,null,"S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","■コードレビュー・分析結果に関するドキュメント及び記録\n・（必要な場合）サードパーティのコードに対するコードレビュー結果\n・（必要な場合）サードパーティのコードに対するコード分析結果（ツールによる分析結果を含む）\n・（必要な場合）社内で再利用するコードに対するコードレビュー結果\n・（必要な場合）社内で再利用するコードに対するコード分析結果（ツールによる分析結果を含む）・発見された指摘事項の情報管理の記録（課題追跡システムなどを含む）","ドキュメント評価：\n対象とするソフトウェアに含まれるサードパーティのコードや社内で再利用するコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、必要なタイミング・方法で計画及び実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.1.2.3","標準","ツール（静的コード分析ツールなど）を使用して、コードの脆弱性と組織のセキュアコーディング標準への準拠を点検した資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","-","○",null,null,null,"S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","■コードレビュー・分析結果に関するドキュメント\n・コード内の脆弱性の確認結果\n・組織が定義したセキュアコーディング標準への準拠性の確認結果","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析により、コード内の脆弱性の有無確認、及び組織のセキュアコーディング標準への準拠性を点検することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.1.3.1","最低限/標準","コードレビュー及び/又はコード分析の結果を検証し、問題の根本原因を整理・特定した資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","-","○",null,null,null,"S(1)-2.3.1.3","評価項目３：コードレビュー・分析結果の検証により発見された問題の根本原因を特定していること。","■コードレビュー・分析結果に基づく検証結果に関するドキュメント\n・コードレビュー・分析結果に基づく検証結果（発見された問題の根本原因の考察を含む）","ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析の結果を検証することで、問題の根本原因を特定することについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.1、PW.7.2"]
["S(1)-2.3.2.2.1","最低限/標準","特定した根本原因を分類し、推奨する改善策と優先度に関する助言とともに、該当するプロセスにフィードバック又は共有した資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","-","○",null,null,null,"S(1)-2.3.2.2","評価項目２：問題の根本原因に対する対応結果を、プロセスにフィードバックした記録が存在すること。","■特定した根本原因の対応結果のフィードバック・共有に関連するドキュメント又は記録\n・根本原因の対応結果のフィードバック・共有に関する仕組み又は実施の履歴","ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を分析することにより特定した根本原因と対応結果を分類し、推奨する改善策と優先度（トリアージが必要な場合に有用となる重要度のレベル付け、対応可否の検討など）に関する助言とともに、対象となるプロセスの実施主体にフィードバック又は共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.2"]
["S(1)-2.3.2.3.1","最低限/標準","特定した根本原因への対応を踏まえ、プロセスの定義を変更し、プロセスの実装に反映した資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","-","○",null,null,null,"S(1)-2.3.2.3","評価項目３：問題の根本原因への対応を踏まえ、プロセスを更新した記録が存在すること。","■セキュア開発プロセス定義の更新に関するドキュメント又は記録\n・定義したセキュア開発プロセス（セキュアビルドプロセス、セキュアコーディングプロセス、デフォルトセキュアプロセス）の更新履歴","ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を分析することにより特定した根本原因と対応結果を踏まえ、問題の発生を排除もしくは低減するために根本原因となるプロセスの定義を更新することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.2"]
["S(1)-2.3.2.1.1","最低限/標準","問題の指摘事項をプロセス（コーディングなど）にフィードバック又は共有した資料や情報がある。","S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.2","特定された指摘事項、及び根本原因に対する対応結果をプロセスへフィードバックし、プロセスを必要に応じて更新していること。","-","○",null,null,null,"S(1)-2.3.2.1","評価項目１：問題の指摘事項をプロセスにフィードバックした記録が存在すること。","■問題の指摘事項のフィードバック・共有に関連するドキュメント又は記録\n・問題の指摘事項のフィードバック・共有に関する履歴（課題追跡システムなどの履歴を含む）","ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を、対象となるプロセスの実施主体にフィードバック又は共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.2"]
["S(1)-2.4.1.1.1","最低限/標準","組織のセキュアコーディング標準に基づき、コードレビュー及び/又はコード分析の対象とするコードベースを特定している資料や情報がある。","S(1)-2.4","コードベース","レビュー及び分析の対象は、ソースコードのみでなく、可読性があると組織が決定したさまざまな形式のコード（設定ファイル等）も対象とする。","S(1)-2.4.1","コードレビューとコード分析の対象を、組織が可読とみなすあらゆる形式のコードとしていること。","-","○",null,null,null,"S(1)-2.4.1.1","評価項目１：コードレビュー・分析の対象とするコードベースを漏れなく特定していること。","■コードレビュー・分析の対象に関するドキュメント\n・レビュー・分析対象のコードベース（例：ソースコード、テストコード、設定ファイル、コードとセットで理解が必要な情報に関する定義コード、AIツールへ入力するコード、AIツールが生成したコード）、もしくはそれらをレビュー・分析対象としていることを示す記録","ドキュメント評価： \n組織のセキュアコーディング標準に準拠するために、ソフトウェアのコードレビュー及び/又はコード分析は、組織が可読とみなすあらゆる形式のコードベースを漏れなく対象として特定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.2"]
["S(1)-2.4.1.1.2","最低限/標準","必要な場合、サードパーティのコードや組織内で作成した再利用可能なコードをレビュー及び/又は分析の対象とする資料や情報がある。","S(1)-2.4","コードベース","レビュー及び分析の対象は、ソースコードのみでなく、可読性があると組織が決定したさまざまな形式のコード（設定ファイル等）も対象とする。","S(1)-2.4.1","コードレビューとコード分析の対象を、組織が可読とみなすあらゆる形式のコードとしていること。","-","○",null,null,null,"S(1)-2.4.1.1","評価項目１：コードレビュー・分析の対象とするコードベースを漏れなく特定していること。","■コードレビュー・分析の対象に関するドキュメント\n・（必要な場合）レビュー・分析対象のサードパーティのコード\n・（必要な場合）組織内で作成した再利用可能なコードをレビュー・分析対象としていることを示す記録","ドキュメント評価： \n組織のセキュアコーディング標準に準拠するために、ソフトウェアのコードレビュー及び/又はコード分析は、必要に応じて、サードパーティのコードや組織内で作成した再利用可能なコードを対象とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.7.2"]
["S(1)-3.1.1.1.1","最低限/標準","脅威モデルに基づくリスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定した、セキュリティテスト計画に関する資料や情報がある。","S(1)-3.1","テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。","S(1)-3.1.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","-","○",null,null,null,"S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","■セキュリティテスト計画のドキュメント\n・テスト範囲、テスト方式、テスト実施時期、その他（例：体制、環境、ツール、適用する基準、日程、テスト仕様など）を含むテスト計画\n・脅威モデル、リスク分析（考慮すべき脆弱性を含む）、設計やコードのレビュー・分析などの結果を反映していることの根拠となる情報","ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画（脅威モデルに基づく、リスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定したテスト範囲、テスト方式、テスト実施時期を含む）を立案することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.1"]
["S(1)-3.1.1.1.2","最低限/標準","必要な場合、セキュリティテストのテスト範囲に、実行可能コードを実行する動的テストを含む資料や情報がある。","S(1)-3.1","テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。","S(1)-3.1.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","-","○",null,null,null,"S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","■セキュリティテスト計画のドキュメント\n・（必要な場合）テスト方式（実行可能コードに対する動的なセキュリティテスト）","ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画を立案する際に、必要に応じて、実行可能コード（バイナリ、直接実行されるバイトコード、及び組織が実行可能であるとみなすその他の形式のコードを含む）を実行する動的テストを含めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.1"]
["S(1)-3.1.1.1.3","標準","必要な場合、セキュリティテストの対象に、サードパーティの実行可能コードを含む資料や情報がある。","S(1)-3.1","テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。","S(1)-3.1.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","-","○",null,null,null,"S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","■セキュリティテスト計画のドキュメント\n・（必要な場合）テスト範囲（サードパーティの実行可能コード）","ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画を立案する際に、必要に応じて、サードパーティの実行可能コードを対象とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.1"]
["S(1)-3.2.1.1.1","最低限/標準","セキュリティテストのテスト方式として、追加の機能テスト、脆弱性テスト、ファジングテスト、侵入テスト、その他のテスト方式のうち必要なすべてを特定した資料や情報がある。","S(1)-3.2","テスト方式","テスト方式には、機能テスト、脆弱性テスト、ファジング、侵入テストなどを含める。","S(1)-3.2.1","機能テスト、脆弱性テスト、ファジング、侵入テスト等から適切なテスト方式を選択していること。","-","○",null,null,null,"S(1)-3.2.1.1","評価項目１：セキュリティテストのテスト方式を特定していること。","■セキュリティテスト計画のドキュメント\n・動的なセキュリティテストのテスト方式の特定\n・特定したテスト方式で十分とした根拠","ドキュメント評価： \nソフトウェアをリリースする前に実施するセキュリティテスト計画として、残存する脆弱性を確認するのに適した全てのセキュリティテストのテスト方式を特定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n動的セキュリティテストとしては、追加の機能テスト（機能テストを脆弱性有無確認に拡張）、脆弱性テスト（特定の脆弱性の有無確認のためのテスト）、ファジングテスト（異常データや意図しないデータを大量に自動投入しバグや脆弱性を検出するテスト）、侵入テスト（脆弱性有無を探索して侵入が成立するかを確認する疑似攻撃テスト）、その他のテスト方式（デフォルト設定状態及び設定変更後のセキュリティ上の弱点や運用上の問題を確認するテストなどを含む）から、必要なすべてを特定する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.1、PW.8.2"]
["S(1)-3.3.1.1.1","最低限/標準","セキュリティテスト計画に基づいて設計・作成したセキュリティテストのテスト仕様・テスト環境の資料や情報がある。","S(1)-3.3","テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。","S(1)-3.3.1","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","-","○",null,null,null,"S(1)-3.3.1.1","評価項目１：セキュリティに特化したテスト計画に基づき、テストを設計、実施していること。","■テスト仕様、テスト環境に関するドキュメント\n・セキュリティテストの仕様\n・テストを実施するためのテスト環境","ドキュメント評価：\nセキュリティテスト計画に基づいてテスト仕様を設計・作成し、テスト環境を構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.2"]
["S(1)-3.3.1.1.2","最低限/標準","セキュリティテスト計画・テスト仕様・テスト環境を使用してセキュリティテストを実施した記録がある。","S(1)-3.3","テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。","S(1)-3.3.1","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","-","○",null,null,null,"S(1)-3.3.1.1","評価項目１：セキュリティに特化したテスト計画に基づき、テストを設計、実施していること。","■テストの実施に関する記録\n・特定したテスト方式によるセキュリティテストを実施した記録","ドキュメント評価：\nソフトウェアをリリースする前に、セキュリティテスト計画、テスト仕様、テスト環境を使用してセキュリティテストを実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.2"]
["S(1)-3.3.1.2.1","最低限/標準","セキュリティテストの結果を文書化し、発見した全ての問題を記述した資料や情報がある。","S(1)-3.3","テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。","S(1)-3.3.1","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","-","○",null,null,null,"S(1)-3.3.1.2","評価項目２：セキュリティテストの結果を文書化していること。","■テスト結果報告に関するドキュメント\n・テスト結果報告書（検出した問題の記述を含む）","ドキュメント評価：\nソフトウェアをリリースする前に、セキュリティテスト計画に基づいたセキュリティテストを実施し、発見した全ての問題（検出した残存脆弱性を含む）に関する記述と共にテスト結果を文書化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.2"]
["S(1)-3.4.1.1.1","最低限/標準","発見した問題、及び検討した対応策の情報管理に関する資料や情報がある。","S(1)-3.4","問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。","S(1)-3.4.1","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","-","○",null,"○",null,"S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","■セキュリティテストで発見した問題への対処に関するドキュメント\n・問題への対応策に関する情報管理（課題追跡システムなどを含む）","ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対する対応策を検討し、その情報を管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.2"]
["S(1)-3.4.1.1.2","最低限/標準","必要な場合、対応策に対する優先順位付けを実施した資料や情報がある。","S(1)-3.4","問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。","S(1)-3.4.1","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","-","○",null,"○",null,"S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","■セキュリティテストで発見した問題への対処に関するドキュメント\n・（必要な場合）問題への対応策のトリアージに関する情報管理（課題追跡システムなどを含む）","ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対して、必要に応じて、緊急度・重要度の観点で対策の優先順位に基づく選別（トリアージ）を行い、対処すべき対応策を決定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.2"]
["S(1)-3.4.1.1.3","最低限/標準","対応策を開発に組み込んで対処した内容に関する資料や情報がある。","S(1)-3.4","問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。","S(1)-3.4.1","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","-","○",null,"○",null,"S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","■セキュリティテストで発見した問題への対処に関するドキュメント\n・問題への対応を開発チームのワークフローに組み込んで対処した内容及びその履歴","ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対する対応策を、セキュア開発プロセスに基づく開発チームのワークフローに組み込んで対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.8.2"]
["S(1)-4.1.1.1.1","最低限/標準","システム・サービスの管理すべき資産の対象範囲の特定に関する資料や情報がある。","S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","-",null,null,"○",null,"S(1)-4.1.1.1","評価項目１：資産管理手順が存在すること。","■資産管理手順に関するドキュメント\n・ソフトウェア及びシステム・サービスの資産の対象範囲の特定に関する情報（例：管理すべき資産の範囲、管理すべき資産を特定するための方針又は手順）","ドキュメント評価：\nシステム・サービスが扱う資産（情報、データなど）、及びシステム・サービスを構成する資産（ハードウェア、ソフトウェア、設定など）について、ソフトウェアの運用時に管理すべき資産の対象範囲を特定するための方針又は手順を、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n資産の対象範囲の特定は、運用を支援するシステム・サービスが扱う資産やソフトウェア構成要素を正確に把握することを目的とする。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.1\nDSP 1.1"]
["S(1)-4.1.1.1.2","最低限/標準","システム・サービスの資産の管理手順に関する資料や情報がある。","S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","-",null,null,"○",null,"S(1)-4.1.1.1","評価項目１：資産管理手順が存在すること。","■資産管理手順に関するドキュメント\n・ソフトウェア及びシステム・サービスの資産管理方法","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順（セキュアな維持の方法を含む）を、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.1\nDSP 1.1"]
["S(1)-4.1.1.2.1","最低限/標準","システム・サービスの資産管理手順に従って整備した資産リストに関する資料や情報がある。","S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","-",null,null,"○",null,"S(1)-4.1.1.2","評価項目２：資産リストが存在すること。","■資産リストに関するドキュメント\n・ソフトウェア及びシステム・サービスの資産に関するリスト（例：システム・サービスが管理する情報資産、システム・サービスの構成要素）","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストを、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.1\nDSP 1.1"]
["S(1)-4.1.1.3.1","最低限/標準","システム・サービスの資産管理手順に従い、資産リストに含まれる構成が、セキュリティ上の弱点や運用上の問題を含まないセキュアなベースラインを維持していることを示す資料や情報がある。","S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","-",null,null,"○",null,"S(1)-4.1.1.3","評価項目３：資産のセキュアな構成を維持していること。","■セキュアな構成の維持に関するドキュメント\n・資産リストの構成がセキュアなベースラインを維持することを示す記録","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストに含まれる構成要素が、顕在化した脆弱性などのセキュリティ上の弱点や、対応すべき運用上の問題を含まないと判断できるレベルを維持するように、運用者または運用を支援する立場で対応することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.1\nDSP 1.1"]
["S(1)-4.1.1.3.2","標準","資産リストのセキュアな構成を維持するために、構成管理・変更管理と連動することを示す資料や情報がある。","S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","-",null,null,"○",null,"S(1)-4.1.1.3","評価項目３：資産のセキュアな構成を維持していること。","■セキュアな構成の維持に関するドキュメント\n・資産リストの維持に関連する構成管理・変更管理の履歴","ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストに含まれる構成要素のセキュアな構成を維持するために、運用者または運用を支援する立場で、これらの構成要素のバージョン情報や変更履歴を管理するために、構成管理や変更管理を連動させて  管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.1\nDSP 1.1"]
["S(1)-4.2.1.1.1","標準","想定リスクに対する運用を考慮した本番運用環境のシステム分離に関する資料や情報がある。","S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.1","リスクの影響を軽減するために、システムを適切に分離していること。","-",null,null,"○",null,"S(1)-4.2.1.1","評価項目１：リスクの影響を考慮してシステムを分離していること。","■運用環境の分離に関するドキュメント\n・システムの運用環境のネットワーク構成、システム構成","ドキュメント評価： \nリスクの影響を低減するために、想定するリスクに対する運用を考慮して本番運用環境を分離することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.1\nDSP 1.2"]
["S(1)-4.2.1.1.2","標準","本番運用環境のシステムは、多層防御を意識した分離構成とする資料や情報がある。","S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.1","リスクの影響を軽減するために、システムを適切に分離していること。","-",null,null,"○",null,"S(1)-4.2.1.1","評価項目１：リスクの影響を考慮してシステムを分離していること。","■運用環境の構成及び管理状況のドキュメント\n・システムの運用環境におけるセキュリティスタックの配置構成（例：境界防御のための分離構成、システム機能別の分離構成、セキュリティレベルによる分離構成）\n・システム分離効果を維持するためのセキュリティコントロール（例：特権ユーザーのアクセス制御、すべてのアクセス試行のログ、監視ログの履歴）","ドキュメント評価： \n本番運用環境において、多層防御の考え方に基づき、システムを機能やセキュリティレベルごとにネットワークや物理層・論理層で分離し、それぞれの境界にセキュリティ監視機能（セキュリティ製品などのスタック）を配置することで、脅威の拡散を防止しリスクの影響を低減する分離構成とすること、及びリスクの影響を低減するために、セキュリティ監視に適した分離構成とし、分離した各構成へのアクセスの監視を適切に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n従来の境界型防御だけではなく、通信ごとにIDやコンテキストに基づく継続的な検証とセキュリティ監視機能を適用することによるゼロトラストの概念を採用していることも該当する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.1\nDSP 1.2"]
["S(1)-4.2.2.1.1","標準","本番運用環境のシステム内部のセキュリティの運用状況をモニタリングする環境を整備し、ログを生成、分析することを示す資料や情報がある。","S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.2","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","-",null,null,"○",null,"S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","■運用環境のシステムを監視するモニタリング環境のドキュメント\n・モニタリング環境の構成（例：セキュリティコントロールの運用状況を監視するツール構成、監視、検出、対応、回復に関連するセキュリティスタックの構成）\n・セキュリティコントロールの運用状況の監視に関するメカニズムの記述","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与えるセキュリティコントロールの運用状況を監視するためのモニタリング環境（ツール等）を整備し、ログを生成、分析することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1\nDSP 2.1"]
["S(1)-4.2.2.1.2","標準","本番運用環境のシステムにおいて、操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出し、対応、回復することを示す資料や情報がある。","S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.2","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","-",null,null,"○",null,"S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","■運用環境のサイバー攻撃への対応手順に関するドキュメント\n・モニタリング環境を利用したサイバー攻撃への対応手順（例：サイバー攻撃によるインシデント対応手順）","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与える可能性のある操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出するとともに、検出した攻撃への対応や回復のための手順を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1\nDSP 2.1"]
["S(1)-4.2.2.1.3","標準","本番運用環境に展開されたすべてのソフトウェアに新たな脆弱性がないか継続的に監視し、発見された脆弱性にリスクベースで対応することを示す資料や情報がある。","S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.2","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","-",null,null,"○",null,"S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","■運用環境のソフトウェアの脆弱性の継続的な監視に関するドキュメント\n・本番運用環境で実施する脆弱性の監視と対応の手続き","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、本番運用環境のソフトウェアにおける脆弱性を継続的に監視し、発見された脆弱性に対してリスクベースで判断し対応することについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.5.1\nDSP 2.1"]
["S(1)-4.3.1.1.1","標準","開発者が、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータを保護するために、セキュリティ要件に対応するセキュリティメカニズムをソフトウェアに実装することを示す資料や情報がある。","S(1)-4.3","セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。","S(1)-4.3.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","-","○",null,"○",null,"S(1)-4.3.1.1","評価項目１：セキュリティメカニズムを実装していること。","■セキュリティメカニズムの実装に関するドキュメント\n・ソフトウェアの動作として監視すべき保護セキュリティメカニズムの特定（例：標準化された識別認証管理、アクセス制御、ログ管理、暗号化・署名等）\n・セキュリティメカニズムの方式及び実装方法の概要\n・セキュリティメカニズムの配備及び監視方法の概要","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータの機密性・完全性の保護に資するセキュリティメカニズムをソフトウェアに実装・配備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2\nDSP 2.1"]
["S(1)-4.3.1.2.1","標準","運用者が、モニタリング環境にセキュリティメカニズムの動作状況を監視するための監視機能を実装することを示す資料や情報がある。","S(1)-4.3","セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。","S(1)-4.3.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","-","○",null,"○",null,"S(1)-4.3.1.2","評価項目２：セキュリティメカニズムのモニタリング環境を整備していること。","■セキュリティメカニズムのモニタリング環境に関するドキュメント\n・セキュリティメカニズムの監視方式及び実装方法の概要\n・モニタリング環境の監視機能へのアクセス制御方式の概要","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータを保護するセキュリティメカニズムの動作状況を監視するための監視機能（セキュリティメカニズムの動作状況を、監査機能を介して収集・分析する機能）をモニタリング環境に実装・配備し、運用者が自らの権限で、ソフトウェアのセキュリティに影響を与える運用状況を把握することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2\nDSP 2.1"]
["S(1)-4.3.1.2.2","標準","モニタリング環境の管理は最小権限の原則を実現する構成としている資料や情報がある。","S(1)-4.3","セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。","S(1)-4.3.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","-","○",null,"○",null,"S(1)-4.3.1.2","評価項目２：セキュリティメカニズムのモニタリング環境を整備していること。","■セキュリティメカニズムのモニタリング環境に関するドキュメント\n・モニタリング環境の管理機能へのアクセス制御方式の概要（例：最小権限、機能分離、最小機能などの実現方法）","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータを保護するために実装・配備したセキュリティメカニズムの動作状況を監視するモニタリング環境の管理は、特定の管理者に限定する最小権限の原則に基づく構成とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2\nDSP 2.1"]
["S(1)-4.4.1.1.1","最低限/標準","本番運用環境で動作するソフトウェアに実装した重要なメカニズムの動作状況をモニタリングした記録がある。","S(1)-4.4","モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。","S(1)-4.4.1","重要なサービスで動作するソフトウェアに適用したメカニズムの動作状況をモニタリングしていること。","-",null,null,"○",null,"S(1)-4.4.1.1","評価項目１：メカニズムの動作状況をモニタリングした記録が存在すること。","■モニタリング記録のドキュメント\n・情報資産及びデータの保護に関連するメカニズムの動作状況の監視ログ","ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与える重要なメカニズム（セキュリティメカニズム以外で、他のサービスと整合してソフトウェアの環境上にある情報資産及びデータを保護、維持することが求められるメカニズム）の運用状況を監視するためのモニタリング（対象メカニズムの動作状況のログ等による静的あるいは動的な監視）を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","DSP 2.1"]
["S(1)-4.4.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施した資料や情報がある。","S(1)-4.4","モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。","S(1)-4.4.2","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施し、評価結果を組織のリスク管理の枠組みに統合していること。","-",null,null,"○",null,"S(1)-4.4.2.1","評価項目１：定期的に実施したセキュリティ評価結果が存在すること。","■ソフトウェア及びシステム・サービスに対するセキュリティ評価結果のドキュメント\n・ソフトウェアに対する定期的なセキュリティ評価結果\n・システム・サービスに対する定期的なセキュリティ評価結果","ドキュメント評価： \nソフトウェア及びシステム・サービスの運用におけるリスク管理の一環として、セキュリティ評価を定期的に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","DSP 2.1"]
["S(1)-4.4.2.2.1","最低限/標準","顧客をサポートする運用者としてリスク管理を実施する立場から、運用のリスク管理活動を実施した資料や情報がある。","S(1)-4.4","モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。","S(1)-4.4.2","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施し、評価結果を組織のリスク管理の枠組みに統合していること。","-",null,null,"○",null,"S(1)-4.4.2.2","評価項目２：セキュリティ評価結果を運用組織のリスク管理の枠組みで対処した記録が存在すること。","■セキュリティ評価の指摘事項への対応に関するドキュメント\n・ソフトウェアに対するセキュリティ評価の指摘事項を踏まえた是正計画、是正処置、改善計画等\n・システム・サービスに対するセキュリティ評価の指摘事項を踏まえた是正計画、是正処置、改善計画等\n■セキュリティ評価に係る運用者としての組織的なリスク対応活動の記録\n・セキュリティ評価の指摘事項への対応（是正計画、是正処置、改善計画等）に対する運用のリスク管理に関する決定事項に関する記録\n・運用のリスク緩和策の達成手段に関する記録\n・運用における例外措置、根拠、及び承認履歴に関する記録\n\n■リスク対応活動記録の維持管理・共有の記録\n・運用のリスク対応活動の記録が監査や保守の目的で利用された証拠となる記録","ドキュメント評価： \nソフトウェア及びシステム・サービスの運用におけるリスク管理の一環として実施したセキュリティ評価の結果の指摘事項への対応を、顧客をサポートする運用者としての組織的なリスク対応活動として実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","DSP 2.1"]
["S(2)-1.1.1.1.1","最低限/標準","ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。","S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.1","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","-","○",null,null,null,"S(2)-1.1.1.1","評価項目１：標準化されたセキュリティ機能とサービスを使用するために、組織が定めたセキュリティ要件を定義していること。","■標準化されたセキュリティ機能のためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠したセキュリティ機能に関するセキュリティ要件\n・標準化された仕様に基づくセキュリティ機能に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）\n・標準又はデファクトスタンダードな管理・制御方式を求めるセキュリティ要件","ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、標準化されたセキュリティ機能を求める場合、これらの具備すべきセキュリティ機能に対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n外部手配する外製ソフトウェアコンポーネントとは、例えば、標準化された、あるいはデファクトスタンダードなセキュリティ機能・サービスなどを提供するオープンソースソフトウェア、ソフトウェアライブラリ、モジュール、ミドルウェア、フレームワーク、あるいは、これらの機能を提供する機器を含むものである。\n標準化されたセキュリティ機能を具備するソフトウェアコンポーネントとは、例えば、以下のようなシステム・モジュールである。（それらの開発環境を含む場合もある）\n暗号・復号化モジュール、署名モジュール、ハッシュ値生成モジュール、認証システム/モジュール、ログ管理システム/モジュール、構成管理システム/モジュール、リリース管理システム/モジュール、問題管理システム/モジュール、脆弱性管理システム/モジュール","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.3"]
["S(2)-1.1.1.1.2","最低限/標準","組織が使用することができる標準化された外部サービスに関する組織のセキュリティ要件を定義した資料や情報がある。","S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.1","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","-","○",null,null,null,"S(2)-1.1.1.1","評価項目１：標準化されたセキュリティ機能とサービスを使用するために、組織が定めたセキュリティ要件を定義していること。","■標準化されたサービスを使用するためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠しサービスに関するセキュリティ要件\n・標準化された仕様に基づく使用可能なサービス（例：SaaS、PaaS、IaaS、その他）に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）","ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、標準化された外部サービスを求める場合、これらのサービスに対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n外部手配するサービスとは、例えば、標準化された、あるいはデファクトスタンダードなセキュリティ機能・サービスなどを提供するオープンソースソフトウェア、ソフトウェアライブラリ、モジュール、ミドルウェア、フレームワークなどの機能を商用サービスとして提供するものである。\n標準化された外部サービスとは、例えば、以下のようなシステム・サービスである。（それらの開発環境を含む場合もある）\n暗号・復号化サービス、署名サービス、ハッシュ値生成サービス、認証システム/サービス、ログ管理システム/サービス、構成管理システム/サービス、リリース管理システム/サービス、問題管理システム/サービス、脆弱性管理システム/サービス","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.3"]
["S(2)-1.1.1.2.1","最低限/標準","安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための組織の要件を定義した資料や情報がある。","S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.1","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","-","○",null,null,null,"S(2)-1.1.1.2","評価項目２：外製ソフトウェアコンポーネントをセキュアに手配するために、組織が定めた要件を定義していること。","■外製ソフトウェアコンポーネントをセキュアに手配するために組織が定めた要件を定義したドキュメント\n・商用・オープンソースなどサードパーティが開発・提供するソフトウェアコンポーネントを安全に手配するために組織が定めた要件（例：取引実績、認証取得実績）","ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.1.3"]
["S(2)-1.1.2.1.1","最低限/標準","外部手配するソフトウェアコンポーネントのセキュアな構成が要件を満たすことを確認した資料や情報がある。","S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.2","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","-","○",null,null,null,"S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・セキュアな構成により組織の要件を満たすことの確認結果","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対する要件に基づいて、外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）をセキュアに構成することにより、そのソフトウェアコンポーネントが組織の要件を満たすことを確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.1.2.1.2","最低限/標準","利用環境や使用状況に照らして、外部手配するソフトウェアコンポーネントが要件を満たすことをレビュー・評価した結果の資料や情報がある。","S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.2","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","-","○",null,null,null,"S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・利用環境や使用状況を踏まえた仕様・設定・操作などのレビュー・評価結果","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対する要件に基づいて、外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対して、利用環境や使用状況を想定したレビュー・検証・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.1.2.1.3","標準","ソースコードからソフトウェアコンポーネントをビルドし、利用環境や使用状況を踏まえて安全性を検証・評価した結果の資料や情報がある。","S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.2","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","-","○",null,null,null,"S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・（必要な場合）ソースコードからのビルド及びセキュリティスキャンなどによる安全性検証・評価結果\n・（必要な場合）利用環境や使用状況を踏まえた動作確認、静的解析（バイナリスキャン）、又は動的解析による安全性検証・評価結果","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネントに対する要件に基づいて、外部手配するソフトウェアコンポーネントに対して、利用環境や使用状況を想定したレビュー・検証・評価を実施する際、必要に応じて、ソースコードからソフトウェアコンポーネントをビルドし、動的確認・静的解析・動的解析を組み合わせて安全性を検証・評価することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.1.2.2.1","最低限/標準","評価結果に基づき、安全性の高い外製ソフトウェアコンポーネントを選定・取得した資料や情報がある。","S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.2","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","-","○",null,null,null,"S(2)-1.1.2.2","評価項目２：外製ソフトウェアコンポーネントに関する選定結果が存在すること。","■外部手配するソフトウェアコンポーネントの選定結果のドキュメント\n・レビュー・評価結果に基づく選定結果\n・安全性検証・評価結果に基づく選定結果","ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネントに対する要件に基づいて、外部手配するソフトウェアコンポーネントに対して、利用環境や使用状況を想定したレビュー・検証・評価を実施し、安全性の高い外製ソフトウェアコンポーネントを選定・取得することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.2.1.1.1","最低限/標準","外部手配するソフトウェアコンポーネントと同様に、内製するソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。","S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.1","内製するソフトウェアコンポーネントに対するセキュリティ基準・慣行を、組織が確立していること。","-","○",null,null,null,"S(2)-1.2.1.1","評価項目１：ソフトウェアコンポーネントの内製化に適用する組織のセキュリティ基準が存在すること。","■標準化されたセキュリティ機能のためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠したセキュリティ機能に関するセキュリティ要件\n・標準化された仕様に基づくセキュリティ機能に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）\n・標準又はデファクトスタンダードな制御方式を求めるセキュリティ要件","ドキュメント評価：\n内製するソフトウェアコンポーネントを開発する際、外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求める場合、これらの具備すべきセキュリティ機能に対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.2"]
["S(2)-1.2.1.2.1","最低限/標準","内製するソフトウェアコンポーネントの開発・維持には、S(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用する資料や情報がある。","S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.1","内製するソフトウェアコンポーネントに対するセキュリティ基準・慣行を、組織が確立していること。","-","○",null,null,null,"S(2)-1.2.1.2","評価項目２：ソフトウェアコンポーネントの内製化に適用する、セキュアなソフトウェア開発に資する組織のセキュリティ慣行を特定していること。","■内製ソフトウェアコンポーネントが「セキュア開発プロセス」に従うことを示すドキュメント\n・組織が定義する「セキュア開発プロセス」を適用することが示された記述","ドキュメント評価：\n内製するソフトウェアコンポーネントを開発する際、原則としてS(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.2"]
["S(2)-1.2.2.1.1","最低限/標準","内製ソフトウェアコンポーネントのリストに関する資料や情報がある。","S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","-","○",null,null,null,"S(2)-1.2.2.1","評価項目１：内製ソフトウェアコンポーネントリストが存在すること。","■内製ソフトウェアコンポーネントのリストに関するドキュメント\n・内製ソフトウェアコンポーネント一覧のリスト","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントをリスト化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.2"]
["S(2)-1.2.2.1.2","標準","内製ソフトウェアコンポーネントを利用するためのリファレンスガイダンスに関する資料や情報がある。","S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","-","○",null,null,null,"S(2)-1.2.2.1","評価項目１：内製ソフトウェアコンポーネントリストが存在すること。","■内製ソフトウェアコンポーネントに関するドキュメント\n・内製ソフトウェアコンポーネントのリファレンスガイダンス（例：コンポーネントの仕様、セキュアな使用法）","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントを利用するためのリファレンスガイドを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.2"]
["S(2)-1.2.2.2.1","最低限/標準","内製ソフトウェアコンポーネントのセキュアな構成に関する情報を維持管理・共有するための手続きや仕組みに関する資料や情報がある。","S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","-","○",null,null,null,"S(2)-1.2.2.2","評価項目２：内製ソフトウェアコンポーネントのセキュアな構成に関する情報を管理・共有していること。","■内製ソフトウェアコンポーネントの維持管理・共有に関するドキュメント\n・セキュアな構成とインスタンスのリポジトリに関する記述\n・リポジトリを維持管理・共有するための手段に関する記述","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントの開発成果物のセキュアな構成とインスタンスを維持管理・共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.2"]
["S(2)-1.2.2.2.2","標準","必要な場合、ソフトウェアコンポーネントの構成・設定を手動で行うことによるミスを防止する仕組みに関する資料や情報がある。","S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","-","○",null,null,null,"S(2)-1.2.2.2","評価項目２：内製ソフトウェアコンポーネントのセキュアな構成に関する情報を管理・共有していること。","■内製ソフトウェアコンポーネントの構成・設定の手動設定ミスを防止する仕組みに関するドキュメント又は記録・（必要な場合）構成・設定のコード化（例：CaC（configuration-as-code））\n・（必要な場合）構成・設定のバージョン管理（例：構成・設定情報の構成管理、ソフトウェア構成のCaC管理リポジトリ）","ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントにおいて、必要に応じて、セキュアな構成・設定の手動実施によるミスを防止する仕組みを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.2"]
["S(2)-1.3.1.1.1","最低限/標準","組織が承認したソフトウェアコンポーネントを、コンポーネントバージョンの一覧及び、出所情報とともに維持管理する資料や情報がある。","S(2)-1.3","ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。","S(2)-1.3.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","-","○",null,null,null,"S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントの出所情報の取得手順\n・ソフトウェアコンポーネントの出所情報の維持管理に関する手順","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントのバージョンの一覧、及び出所情報を取得・紐づけして維持管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.3.1.1.2","標準","各ソフトウェアコンポーネントの出所情報をシステム又はツールで管理することを示す資料や情報がある。","S(2)-1.3","ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。","S(2)-1.3.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","-","○",null,null,null,"S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントのシステム又はツール（SBOM）による管理に関する手順\n・ソフトウェアコンポーネントの出所情報の維持管理記録の履歴","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントのバージョンの一覧、及び出所情報を取得・紐づけして維持管理する際、システム又はツール（例：SBOM）を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.3.1.1.3","標準","各ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけた管理とする資料や情報がある。","S(2)-1.3","ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。","S(2)-1.3.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","-","○",null,null,null,"S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果と出所情報との紐づけ管理記録の履歴","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけ管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.3.1.2.1","最低限/標準","各ソフトウェアコンポーネントの出所情報に基づき、リスクを評価した結果に関する資料や情報がある。","S(2)-1.3","ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。","S(2)-1.3.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","-","○",null,null,null,"S(2)-1.3.1.2","評価項目２：ソフトウェアコンポーネントの出所情報に基づき、リスク評価した結果が存在すること。","■出所情報に基づくソフトウェアコンポーネントのリスク評価結果のドキュメント\n・ソフトウェアコンポーネントのリスク評価結果","ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、取得・紐づけ管理する出所情報に基づく信頼性の確認、履歴情報の確認、脅威や脆弱性の確認を通じてリスクを評価することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.4.1.1.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の定期的又は継続的な確認を実施した資料や情報がある。","S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.1","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","-","○",null,null,null,"S(2)-1.4.1.1","評価項目１：ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果が存在すること。","■各ソフトウェアコンポーネントの定期的な公知脆弱性確認に関するドキュメント\n・各ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果","ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を定期的又は継続的に確認し、ソフトウェアコンポーネントにおける既知の公知脆弱性の有無を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.4"]
["S(2)-1.4.1.1.2","標準","必要な場合、導入した特定のソフトウェアコンポーネントの既知の公知脆弱性の自動検出をツールチェーンへ組込むことに関する資料や情報がある。","S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.1","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","-","○",null,null,null,"S(2)-1.4.1.1","評価項目１：ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果が存在すること。","■各ソフトウェアコンポーネントの継続的な公知脆弱性確認に関するドキュメント\n・（必要な場合）導入した特定のソフトウェアコンポーネントの公知脆弱性の自動検出に関する手続き","ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を継続的に確認する際に、必要に応じて、導入済みソフトウェアコンポーネントのうち、リスクを踏まえ重要と判断した特定のソフトウェアコンポーネントと、既知の公知脆弱性情報のデータベースとを自動的に照合し、脆弱性を検出・特定する仕組みを、ツールチェーンに組み込むことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.4"]
["S(2)-1.4.1.2.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の確認結果から識別した未修正の脆弱性を除去もしくは低減するために実施した修正・変更を管理する資料や情報がある。","S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.1","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","-","○",null,null,null,"S(2)-1.4.1.2","評価項目２：ソフトウェアコンポーネントに対する未修正の脆弱性情報とその対応結果を管理していること。","■各ソフトウェアコンポーネントの公知脆弱性への対応の管理に関するドキュメント\n・対応すべき未修正の公知脆弱性と修正・変更の対応策に関する手続き\n・ソフトウェアコンポーネントの修正・変更などの対応アクションの記録\n・セキュアな構成とインスタンスのリポジトリの更新に関する記録\n・脆弱性の修正を行わない場合の例外処置（例：逸脱等）に関する手続き","ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を定期的又は継続的に確認し、検出された未修正の公知脆弱性を除去もしくは低減するために実施したソフトウェアコンポーネントの修正（パッチ適用、コード修正など）・変更（適用バージョンの変更など）の対応結果を管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.4"]
["S(2)-1.4.2.1.1","最低限/標準","各ソフトウェアコンポーネントのEOLの定期的又は継続的な確認結果に関する資料や情報がある。","S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.2","各ソフトウェアコンポーネントのサポート期間が、EOLに達していないことを定期的に確認し、サポート期間が終了しているソフトウェアコンポーネント、または近い将来利用できなくなるソフトウェアコンポーネントに対する対応計画を策定していること。","-","○",null,null,null,"S(2)-1.4.2.1","評価項目１：ソフトウェアコンポーネントのサポート期間（EOL）の定期的な確認結果が存在すること。","■各ソフトウェアコンポーネントの定期的なEOL確認結果のドキュメント\n・各ソフトウェアコンポーネントのEOLもしくはEOSの確認記録","ドキュメント評価：\nソフトウェアコンポーネントのEOL/EOSの情報を定期的又は継続的に収集することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.4、RV.2.1"]
["S(2)-1.4.2.2.1","最低限/標準","各ソフトウェアコンポーネントのEOL/EOSがこれを導入した対象ソフトウェアの運用期間内である場合、EOL/EOSに基づく対応計画（移行計画を含む）を策定した資料や情報がある。","S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.2","各ソフトウェアコンポーネントのサポート期間が、EOLに達していないことを定期的に確認し、サポート期間が終了しているソフトウェアコンポーネント、または近い将来利用できなくなるソフトウェアコンポーネントに対する対応計画を策定していること。","-","○",null,null,null,"S(2)-1.4.2.2","評価項目２：ソフトウェアコンポーネントのサポート期間（EOL）及びサポート終了（EOS）に基づく対応計画が存在すること。","■EOL/EOSに基づく対応計画のドキュメント\n・各ソフトウェアコンポーネントのEOL/EOSへの対応計画（例：移行計画）\n・対象ソフトウェアに導入したソフトウェアコンポーネントのEOL/EOSへの対応計画","ドキュメント評価：\n収集したソフトウェアコンポーネントのEOL/EOSの情報と、これを導入した対象ソフトウェアの運用期間への影響を確認し、EOL/EOSに対する対応計画を策定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.4、RV.2.1"]
["S(2)-1.5.1.1.1","最低限/標準","ソフトウェアコンポーネントの更新プロセスの定義に関する資料や情報がある。","S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","-","○",null,null,null,"S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n・新バージョンへのセキュアな更新手続き（例：出所情報の取得・保存、更新におけるセキュリティチェック方法など）","ドキュメント評価：\nセキュアにソフトウェアコンポーネントの更新を実施するためのプロセスを定義し、正式な手順として導入することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.5.1.1.2","最低限/標準","更新プロセスとして、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順に関する資料や情報がある。","S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","-","○",null,null,null,"S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n・旧バージョンの扱いに関する手続き（例：旧バージョンの移行完了までの扱いに関する手順（リカバリー手順）など）","ドキュメント評価：\nソフトウェアコンポーネントの更新プロセスは、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.5.1.1.3","標準","必要な場合、更新するソフトウェアコンポーネントの整合性又は出所情報を検証、及びソースコードからバイナリをビルドして検証する手順に関する資料や情報がある。","S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","-","○",null,null,null,"S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n\n・（必要な場合）更新するソフトウェアコンポーネントの検証に関する手続き（例：整合性の検証、出所情報の検証、ソースコードからバイナリをビルドして実施する検証）","ドキュメント評価：\nソフトウェアの整合性、出所情報の信頼性、コードとバイナリの一致など、サプライチェーンセキュリティの確証を高めるために、ソフトウェアコンポーネントの更新プロセスは、必要に応じて、整合性及び出所情報を検証し、ソースコードからバイナリをビルドして検証する手順を含むことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.5.1.2.1","最低限/標準","対象ソフトウェアに含まれるソフトウェアコンポーネントの更新時に、定義した更新プロセスを適用した資料や情報がある。","S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","-","○",null,null,null,"S(2)-1.5.1.2","評価項目２：ソフトウェアコンポーネントのバージョン移行を定義したプロセスを導入していること。","■ソフトウェアコンポーネントの更新手続きの記録に関するドキュメント\n・ソフトウェアコンポーネントの更新計画、更新結果","ドキュメント評価：\n対象ソフトウェアに含まれるソフトウェアコンポーネントの更新には、セキュアな更新を実施するために定義したプロセスを適用し、実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.4.1"]
["S(2)-1.5.2.1.1","最低限/標準","ソフトウェアコンポーネントの脆弱性（公知脆弱性を含む）に対し、サプライチェーン上で対応することを決定するための手続きに関する資料や情報がある。","S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.2","導入した各ソフトウェアコンポーネントに存在する発見された対応すべき脆弱性を、当該ソフトウェアコンポーネントのサプライチェーン上で情報共有し、迅速なパッチ適用等により対処すること。","-","○",null,null,null,"S(2)-1.5.2.1","評価項目１：ソフトウェアコンポーネントの対応すべき脆弱性情報を、サプライチェーン上で共有する手続きが存在すること。","■ソフトウェアコンポーネントの脆弱性情報の共有・対応に関する手続きに関するドキュメント\n・パッチ適用の決定に関する手続き（例：サプライチェーン上での情報共有、サプライチェーン上での脆弱性への対応の決定）","ドキュメント評価： \nソフトウェアコンポーネントの対応すべき脆弱性情報をサプライチェーン上で共有し、対応することを決定するための手続きについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","EU CRA ANNEX I Part II（6）\nNSA Developer 2.3.4\nNSA Supplier 2.4.1\nSP800-218：RV.1.3"]
["S(2)-1.5.2.1.2","最低限/標準","ソフトウェアコンポーネントに対するパッチ適用等の対応に関する情報を、サプライチェーン上で受け渡す手続きに関する資料や情報がある。","S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.2","導入した各ソフトウェアコンポーネントに存在する発見された対応すべき脆弱性を、当該ソフトウェアコンポーネントのサプライチェーン上で情報共有し、迅速なパッチ適用等により対処すること。","-","○",null,null,null,"S(2)-1.5.2.1","評価項目１：ソフトウェアコンポーネントの対応すべき脆弱性情報を、サプライチェーン上で共有する手続きが存在すること。","■ソフトウェアコンポーネントのパッチ手続きに関するドキュメント\n・パッチ適用の受け渡しに関する手続き（例：サプライチェーン上でのパッチの生成と配付）","ドキュメント評価： \n脆弱性に対応したソフトウェアコンポーネントを、そのソフトウェアコンポーネントを含む対象ソフトウェアの利用者である顧客まで配付するために、必要なパッチ適用等の対応に関する情報をサプライチェーン上で受け渡す手続きを定め、脆弱性情報と修正プログラムの流通を促進することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","EU CRA ANNEX I Part II（6）\nNSA Developer 2.3.4\nNSA Supplier 2.4.1\nSP800-218：RV.1.3"]
["S(2)-2.1.1.1.1","最低限/標準","対象ソフトウェアの全てのコードベースのリポジトリに関する資料や情報がある。","S(2)-2.1","コードベースの保護","全ての形式のコードベースを不正アクセスや改ざんから保護するために、リポジトリにコードや設定情報を保管し、承認された担当者、ツール、サービスなどのみがアクセスできるよう最小権限の原則に基づいたアクセス制御を実施する。","S(2)-2.1.1","全ての形式のコードベースをリポジトリに保存し、コードの性質に基づき最小限の原則に基づいてアクセスを制限していること。","-","○","○",null,null,"S(2)-2.1.1.1","評価項目１：全ての形式のコードベースをリポジトリに保存した記録が存在すること。","■コードベースのリポジトリに関するドキュメント\n・コードベースのリポジトリへの保存方法に関する記述\n・リポジトリに保存するコードのタイプ（種類、形式）\n・リポジトリへのコードの保存記録の履歴","ドキュメント評価：\n不正アクセスや改ざんから保護するために、対象ソフトウェアの全てのコードベースをリポジトリに保存することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアのコードベースは、ソースコード、実行可能コード、設定、リソースファイル、コンテナイメージ、コードとしての構成（CaC）など、全ての形式のコードを対象とするほか、オープンソースや言語クラスの部品群、完全性検証情報、出所情報なども対象とする。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PS.1.1"]
["S(2)-2.1.1.2.1","最低限/標準","コードの性質に基づき、承認された担当者、ツール、サービスに絞るなど、コードベースへのアクセスを最小限に制限していることを示す資料や情報がある。","S(2)-2.1","コードベースの保護","全ての形式のコードベースを不正アクセスや改ざんから保護するために、リポジトリにコードや設定情報を保管し、承認された担当者、ツール、サービスなどのみがアクセスできるよう最小権限の原則に基づいたアクセス制御を実施する。","S(2)-2.1.1","全ての形式のコードベースをリポジトリに保存し、コードの性質に基づき最小限の原則に基づいてアクセスを制限していること。","-","○","○",null,null,"S(2)-2.1.1.2","評価項目２：コードの性質に基づいてアクセスを制限していること。","■コードベースのリポジトリへのアクセス制限に関するドキュメント\n・リポジトリへのアクセス制御方法に関する記述\n・リポジトリへのアクセス制限に関する設定の記録","ドキュメント評価：\n不正アクセスや改ざんから保護するために、対象ソフトウェアの全ての形式のコードベースをリポジトリに保存し、コードの種別に基づき、かつ最小限のアクセスに制限することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nコードの種別によるアクセスの制御方式として、ソースコードや実行可能コードのファイルの正当性や整合性を保護するために暗号化技術（例：コード署名、コミット署名、ハッシュ）などを活用する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PS.1.1"]
["S(2)-2.2.1.1.1","最低限/標準","リリース毎に保持が必要なファイルとサポートデータを脆弱性分析に活用できるようにアーカイブすることに関する資料や情報がある。","S(2)-2.2","リリースのアーカイブ","リリース後に発見された脆弱性を分析、特定できるようにするために、各ソフトウェアのリリースをアーカイブ化して保護する。","S(2)-2.2.1","ソフトウェアリリース毎に保持が必要なインスタンスを脆弱性分析に活用できるようにアーカイブし、アクセスを制限していること。","-","○","○",null,null,"S(2)-2.2.1.1","評価項目１：ソフトウェアの各リリースのインスタンスをアーカイブしていること。","■ソフトウェアの各リリースのアーカイブに関するドキュメント\n・アーカイブするインスタンスの構成に関する記述\n・各リリースソフトウェアのアーカイブの情報（例：実行可能なバイナリ、コンテナイメージ、作成方法、格納場所、完全性に関する保護方法、完全性保護に関する情報、出所情報）","ドキュメント評価：\nリリース後に発見された脆弱性を分析・特定可能とするために、対象ソフトウェアの各リリースのインスタンスのファイルとサポートデータ（完全性検証情報、出所情報など）をアーカイブすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PS.3.1"]
["S(2)-2.2.1.2.1","最低限/標準","アーカイブしたインスタンスに対して、データ署名などによる完全性の保証や、最小限のアクセス制限などの保護策を講じることを示す資料や情報がある。","S(2)-2.2","リリースのアーカイブ","リリース後に発見された脆弱性を分析、特定できるようにするために、各ソフトウェアのリリースをアーカイブ化して保護する。","S(2)-2.2.1","ソフトウェアリリース毎に保持が必要なインスタンスを脆弱性分析に活用できるようにアーカイブし、アクセスを制限していること。","-","○","○",null,null,"S(2)-2.2.1.2","評価項目２：アーカイブしたインスタンスに対するアクセスを制限していること。","■アーカイブインスタンスの管理方法に関するドキュメント\n・アーカイブインスタンスへのアクセス制御方法に関する記述\n・アーカイブインスタンスのその他の保護策に関する記述","ドキュメント評価：\nリリース後に発見された脆弱性の分析・特定の対象とするアーカイブインスタンスを管理するために、対象ソフトウェアの各リリースのインスタンスに対して、インスタンスの完全性の保証や最小限のアクセスに制限するなどの保護策を講じることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PS.3.1"]
["S(2)-2.3.1.1.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの更新とともに、出所情報を収集・更新することに関する資料や情報がある。","S(2)-2.3","リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。","S(2)-2.3.1","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","-","○","○",null,null,"S(2)-2.3.1.1","評価項目１：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集・保護する記録が存在すること。","■出所情報の収集に関するドキュメント及び記録\n・収集する出所情報の内容に関する記述（例：コンポーネント名、バージョン情報、提供元情報、依存関係、ライセンス情報、SBOMタイムスタンプ、既知脆弱性情報）\n・出所情報を収集した記録\n・出所情報を更新した場合、その更新した記録","ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集、更新するための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PS.3.2"]
["S(2)-2.3.1.1.2","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の整合性を保つ仕組みに関する資料や情報がある。","S(2)-2.3","リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。","S(2)-2.3.1","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","-","○","○",null,null,"S(2)-2.3.1.1","評価項目１：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集・保護する記録が存在すること。","■出所情報の収集・保護に関するドキュメント\n・出所情報の整合性を保つ仕組みに関する記述（例：各リリースに紐づいたソフトウェアコンポーネントの出所情報の構成管理、コード署名と検証）","ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報の整合性を保つための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PS.3.2"]
["S(2)-2.3.1.2.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の記録を維持管理・共有するための手続きや仕組みに関する資料や情報がある。","S(2)-2.3","リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。","S(2)-2.3.1","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","-","○","○",null,null,"S(2)-2.3.1.2","評価項目２：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を維持管理・共有していること。","■全てのソフトウェアコンポーネントの出所情報の維持管理・共有に関するドキュメント\n・出所情報の維持管理のための手段に関する記述（例：各リリースに紐づいたソフトウェアコンポーネントの出所情報の構成管理）\n・出所情報を開発者・供給者間で共有するための手段に関する記述","ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報の記録を維持、共有するための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PS.3.2"]
["S(2)-3.1.1.1.1","最低限/標準","外部の事業者などからソフトウェアコンポーネントを手配する場合、要求するセキュリティ要件の合意事項を文書化した資料や情報がある。","S(2)-3.1","セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。","S(2)-3.1.1","事業者が外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を、外部調達先との合意事項とし、文書化していること。","-","○","○","○",null,"S(2)-3.1.1.1","評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を合意事項とした文書が存在すること。","■セキュリティ要件を合意事項とする文書のドキュメント\n・調達要件文書、ソフトウェア契約、その他サードパーティとの合意を約する内容に関する文書","ドキュメント評価： \nサードパーティ製のソフトウェアコンポーネント又はサービスを事業者が外部手配する際に、要求するセキュリティ要件を、外部調達先との合意事項とし、文書化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nサードパーティ製のソフトウェアコンポーネントには、自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む。外部手配するサービスには、開発するソフトウェア又はシステム・サービスの一部となるサービスを含む。\n供給者と運用者は、外部の事業者などと合意するセキュリティ要件が顧客のニーズや要求に適合していることの把握に努める必要がある。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.3"]
["S(2)-3.1.2.1.1","最低限/標準","サプライチェーンセキュリティ要件を定義した資料や情報がある。","S(2)-3.1","セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。","S(2)-3.1.2","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","-","○","○","○",null,"S(2)-3.1.2.1","評価項目１：サプライチェーン・リスクを軽減するためのサプライチェーンセキュリティ要件を定義していること。","■サプライチェーンセキュリティ要件に関するドキュメント\n・サプライチェーンセキュリティ方針（例：セキュリティ慣行の遵守状況、出所情報の提出）\n・サプライチェーンセキュリティ要件（例：セキュアコーディングに関する要件、セキュリティチェックに関する要件、脆弱性対応に関する要件、提供形態・提供手段・検証手段に関する要件、SBOM提供に関する要件、サポート内容・期間・条件に関する要件）","ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、サプライチェーンセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.3"]
["S(2)-3.1.2.2.1","最低限/標準","外部からソフトウェアコンポーネント又はサービスを手配し取得する側の事業者としての手配プロセスの定義に関する資料や情報がある。","S(2)-3.1","セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。","S(2)-3.1.2","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","-","○","○","○",null,"S(2)-3.1.2.2","評価項目２：ソフトウェアコンポーネントの手配プロセスを定義していること。","■ソフトウェアコンポーネントの手配プロセス定義に関するドキュメント\n・ソフトウェアコンポーネントの手配プロセス定義（例：購入用途の明確化、信頼できる配布先選定、契約内容・管理状態の良い供給者へのインセンティブ付与などの手順）","ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、手配プロセスを定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.3"]
["S(2)-3.1.2.3.1","最低限/標準","供給者からエビデンスを取得し、サプライチェーンセキュリティ要件への対応状況を確認した記録に関する資料や情報がある。","S(2)-3.1","セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。","S(2)-3.1.2","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","-","○","○","○",null,"S(2)-3.1.2.3","評価項目３：定義したソフトウェアコンポーネントの手配プロセスを実施した記録が存在すること。","■手配プロセスを実施した記録\n・手配プロセスに基づいて手配を実施した記録\n・供給者が提示したエビデンス（例：セキュリティ慣行の遵守状況、出所情報の提出）","ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、定義した手配プロセスに従ってソフトウェアコンポーネントを手配すること、及び定義したサプライチェーンセキュリティ要件に従って必要なエビデンスを取得することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.3"]
["S(2)-3.2.1.1.1","標準","提供先の組織が採用するサプライチェーンセキュリティ要件への対応、又はこれに準じることを合意事項とした資料や情報がある。","S(2)-3.2","サプライチェーンセキュリティ要求への対応\t","提供するIT 製品又はサービスを受領・取得する組織が採用するサプライチェーンセキュリティ要件と同等のサプライチェーンセキュリティ要件に対応する。","S(2)-3.2.1","IT製品又はサービスを提供する場合、提供先の組織が採用するサプライチェーンセキュリティ要件に対応又は準じていること。","-","○","○","○",null,"S(2)-3.2.1.1","評価項目１：サプライチェーン・リスクを低減するためのサプライチェーンセキュリティ要件又はこの要件に準じることに合意した記録が存在すること。","■合意したサプライチェーンセキュリティ要件に関するドキュメント\n・合意したサプライチェーンセキュリティ要件（例：セキュアコーディングに関する要件、セキュリティチェックに関する要件、脆弱性対応に関する要件、提供形態・提供手段・検証手段に関する要件、SBOM提供に関する要件、サポート内容・期間・条件に関する要件）","ドキュメント評価： ソフトウェアコンポーネント又はサービスを提供する側の事業者の場合、提供先のサプライチェーンセキュリティ要件又はこの要件に準じることを合意し対応することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n供給者は、提供先の組織が採用するサプライチェーンセキュリティ要件に適合していることの把握に努める必要がある。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.3、PW.4.4"]
["S(2)-3.3.1.1.1","標準","外部手配のソフトウェアコンポーネントが提示したセキュリティ要件を満たせない場合のリスク対処プロセスを定義した資料や情報がある。","S(2)-3.3","セキュリティ要件を満たさないリスクへの対処プロセスの整備","受領・取得するサードパーティ製のIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクに対処するプロセスを整備する。","S(2)-3.3.1","事業者が外部手配するソフトウェアコンポーネントとしてのIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクへの対処プロセスを整備していること。","-","○","○","○",null,"S(2)-3.3.1.1","評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスが満たせないセキュリティ要件がある場合のリスク対処プロセスを定義していること。","■ソフトウェアコンポーネントの外部手配におけるリスク対処プロセスの定義に関するドキュメント\n・ソフトウェアコンポーネントの外部手配に関するリスク対処方針及び手続き（例：承認された例外の定期的又は継続的なレビュー）\n・サプライチェーン・リスクを軽減するための取得戦略、取得方法に関する規定（例：購入用途を明確化しない、信頼できる配布先の選定、契約内容及び管理状態の良い供給者へのインセンティブ付与）","ドキュメント評価： \nソフトウェアコンポーネントを外部手配する場合、満たせないセキュリティ要件がある場合のリスクへの対処プロセスを整備し、サプライチェーン・リスクを軽減することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nリスク対処プロセスには、要件に対して承認されたすべての例外の定期的なレビューを含む。\nリスク対処プロセスに従い、当該ソフトウェアコンポーネントを外部手配しないことを決定した場合、個別要求(2).1-2にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する等の代替策を策定する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.3、PW.4.2"]
["S(2)-4.1.1.1.1","最低限/標準","セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む管理者向けガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。","S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.1","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","-","○","○",null,null,"S(2)-4.1.1.1","評価項目１：実装したセキュアなデフォルト設定に関する管理者向けガイダンスを文書化し、調達者に提供していること。","■セキュアなデフォルト設定に関する管理者向けガイダンス\n・調達者に提供する管理者向けガイダンス（例：ソフトウェアのデフォルト設定、各設定の目的、デフォルト値、設定とセキュリティとの関連性、設定変更の影響、他の設定との関係）","ドキュメント評価：\nソフトウェアをインストール・設定する際にセキュアな構成とするための方法（セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む）に関する管理者向けガイダンスを作成し、調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.2"]
["S(2)-4.1.1.2.1","最低限/標準","ソフトウェアのセキュアな導入・設定（セキュアなデフォルト設定以外も含む）、操作、廃棄を含むガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。","S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.1","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","-","○","○",null,null,"S(2)-4.1.1.2","評価項目２：ソフトウェアのセキュアな導入・設定・操作・廃棄に関するガイダンスを文書化し、調達者に提供していること。","■ソフトウェアのセキュアな導入・設定・操作・廃棄に関する管理者及び利用者向けガイダンス\n・調達者に提供する管理者向けガイダンス（例：セキュアな導入・設定（セキュアなデフォルト設定以外も含む））\n・調達者に提供する利用者向けガイダンス（例：ソフトウェアの操作、ソフトウェアの廃棄時（EOL/EOS時又は利用終了時）の対応）","ドキュメント評価：\nソフトウェアをインストール・設定する際にセキュアな構成とするための方法（セキュアなデフォルト設定以外）、ソフトウェアをセキュアに操作するための方法、及びソフトウェアを廃棄する際のセキュアな手続きなどに関する管理者及び利用者向けガイダンスを作成し、調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.2"]
["S(2)-4.1.1.2.2","最低限/標準","ソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、継続的に更新したガイダンスを提供することを定めた資料や情報がある。","S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.1","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","-","○","○",null,null,"S(2)-4.1.1.2","評価項目２：ソフトウェアのセキュアな導入・設定・操作・廃棄に関するガイダンスを文書化し、調達者に提供していること。","■ソフトウェアの管理者及び利用者向けガイダンスの提供の手続きに関するドキュメント\n\n・管理者及び利用者ガイダンスの更新を継続的に提供する手続き","ドキュメント評価：\nソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、ソフトウェアのデフォルト設定、セキュアな導入・設定、操作、廃棄を含む管理者及び利用者向けガイダンスを更新し、更新したガイダンスを調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.2"]
["S(2)-4.1.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関して、製品・サービスの販売終了（EOS）/製品・サービスのライフサイクル終了（保守やサポートの終了、EOL）に関する情報を調達者に継続的に提供又は伝達することを定めた資料や情報がある。","S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.2","ソフトウェア及びシステム・サービスの提供とともに、製品サポート内容、サポート終了予定日を調達者に継続的に伝達していること。","-","○","○",null,null,"S(2)-4.1.2.1","評価項目１：製品サポート内容・サポート終了予定日を調達者に継続的に伝達していること。","■ソフトウェア及びシステム・サービスのサポート内容、及びサポート終了予定日を調達者に提供又は伝達することを定めたドキュメント\n・サポート内容及びEOS/EOL関連の情報の提供に関する方針\n・提供する情報の項目","ドキュメント評価： \nソフトウェアのサポート内容、及びEOS/EOLに関する情報を、継続的に調達者に提供又は伝達することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.2"]
["S(2)-4.1.2.1.2","標準","ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を、調達者に継続的に提供又は伝達することを定めた資料や情報がある。","S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.2","ソフトウェア及びシステム・サービスの提供とともに、製品サポート内容、サポート終了予定日を調達者に継続的に伝達していること。","-","○","○",null,null,"S(2)-4.1.2.1","評価項目１：製品サポート内容・サポート終了予定日を調達者に継続的に伝達していること。","■ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を調達者に提供又は伝達することを定めたドキュメント\n・変更の影響・提供終了・利用終了に関する情報の提供に関する方針\n・提供する情報の項目","ドキュメント評価： \nソフトウェアのサポート内容、及び必要に応じて変更の影響や廃棄・提供終了・利用終了に関する情報を、継続的に調達者に提供又は伝達することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n変更の影響に関する情報とは、提供するソフトウェア及び/又はシステム・サービスの更新を行う場合に、受領側がその変更に応じて必要となる対応などの情報が考えられる。また廃棄に関する情報とは、ソフトウェア及び/又はシステム・サービスのEOS/EOLまでに受領側が実施すべき事項（関連するデータの退避・保存など）に関する情報が考えられる。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PW.9.2"]
["S(2)-4.2.1.1.1","最低限/標準","ソフトウェアを配付する際、及び継続的に、ソフトウェアの整合性・完全性が確保されていることを検証するための情報を、ソフトウェア本体とは別の手段で、調達者に提供することを定めた資料や情報がある。","S(2)-4.2","整合性検証情報の提供","ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.2.1","供給者から顧客への流通経路においてソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。","-","○","○",null,null,"S(2)-4.2.1.1","評価項目１：ソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。","■ソフトウェア配付における流通経路上の保護の対策に関するドキュメント\n・リリースファイルの整合性の保護対策の記述（例：リリースノートなどによるバージョン情報、情報提供方法、構成情報、履歴情報の提示）\n・リリースファイルの完全性の保護対策の記述（例：暗号化ハッシュ（ハッシュ値含む）、コード署名（署名検証情報含む））\n・サービスのなりすまし対策の記述（例：証明書）","ドキュメント評価： \nソフトウェア配付における流通経路上の保護対策として、ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PS.2.1"]
["S(2)-4.2.2.1.1","最低限/標準","ソフトウェアを供給者から顧客へセキュアに配付する配付システムの整備に関する資料や情報がある。","S(2)-4.2","整合性検証情報の提供","ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.2.2","ソフトウェアのセキュアな配付メカニズムを整備し、その保護対策を実施していること。","-","○","○",null,null,"S(2)-4.2.2.1","評価項目１：ソフトウェアのセキュアな配付メカニズムを整備していること。","■ソフトウェアの配付システムにおける保護の対策に関するドキュメント\n・セキュアな配布メカニズムを実現する配付システム（例：自動更新システム）\n・配付システムの保護対策（例：信頼できる認証局をコード署名に使用、コード署名プロセスの定期的又は継続的な見直し、その他の署名環境の保護対策）","ドキュメント評価： \nソフトウェアの配付における通信経路上の保護対策として、ソフトウェアの配付をセキュアに行うメカニズムを具備した配付システムを整備し、顧客が安全に利用できるようにするために保護対策を講じることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PS.2.1"]
["S(3)-1.1.1.1.1","最低限/標準","脆弱性の開示と是正の基本方針に関する資料や情報がある。","S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.1","脆弱性の開示と是正に対処するポリシーを整備していること。","-","○",null,"○",null,"S(3)-1.1.1.1","評価項目１：脆弱性の開示と是正に関するポリシー文書が存在すること。","■脆弱性対応に関する基本方針を定めたドキュメント\n・脆弱性の開示の方針\n・脆弱性の是正の方針","ドキュメント評価：\nソフトウェアの脆弱性が発見された際に、その開示と是正を実施するための基本的な方針を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.3"]
["S(3)-1.1.1.1.2","標準","脆弱性の開示と是正の基本方針に加えて、脆弱性対応プロセス改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いの各方針に関する資料や情報がある。","S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.1","脆弱性の開示と是正に対処するポリシーを整備していること。","-","○",null,"○",null,"S(3)-1.1.1.1","評価項目１：脆弱性の開示と是正に関するポリシー文書が存在すること。","■脆弱性対応に関するポリシー（方針）を定めたドキュメント\n・脆弱性対応プロセスの改善の方針\n・定期的な脆弱性対応訓練の方針\n・脆弱性報告の対話方針（例：受付、連絡方法）\n・報告情報の取扱いの方針（例：報告者保護（免責事項、機密保持等））","ドキュメント評価：\nソフトウェアの脆弱性が発見された際に、その開示と是正を実施するためのポリシー（方針）に、脆弱性対応プロセスの改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いに関する方針を含めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.3"]
["S(3)-1.1.2.1.1","最低限/標準","脆弱性対応に関する担当者を任命していることがわかる資料や情報がある。","S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","-","○",null,"○",null,"S(3)-1.1.2.1","評価項目１：脆弱性対応に関する対応体制を定義していること。","■脆弱性対応に関する体制を定義したドキュメント\n・担当部署、担当者が任命されていることを示す記録","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための担当者を任命することについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.3"]
["S(3)-1.1.2.1.2","標準","脆弱性対応を専門とする組織体制を設置していることがわかる資料や情報がある。","S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","-","○",null,"○",null,"S(3)-1.1.2.1","評価項目１：脆弱性対応に関する対応体制を定義していること。","■脆弱性対応に関する体制を定義したドキュメント\n・専門体制の設置に関する規程（例：PSIRT）","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための体制を組織の規程や手順書等で定義し、整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.3"]
["S(3)-1.1.2.2.1","最低限/標準","脆弱性対応に関わる担当者の役割と責務を定義している資料や情報がある。","S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","-","○",null,"○",null,"S(3)-1.1.2.2","評価項目２：脆弱性対応に関する役割と責務を定義していること。","■脆弱性対応における各部署・担当者の役割と責務を定めたドキュメント\n・全ての役割と責務の一覧","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための役割と責務を組織の規程や手順書等で定義し、整備していることについて、責務として適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.3"]
["S(3)-1.1.2.3.1","最低限/標準","脆弱性情報を入手してから対処するまでの一連のプロセスに関する資料や情報がある。","S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","-","○",null,"○",null,"S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応の各段階の定義（例：情報の収集、分析、トリアージ、対策、情報の公開）","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するためのプロセスを組織の規程や手順書等で定義し、整備していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.3"]
["S(3)-1.1.2.3.2","標準","脆弱性対応の一連のプロセスにおける具体的な手順を定義している資料や情報がある。","S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","-","○",null,"○",null,"S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応の各段階（例：情報の収集、分析、トリアージ、対策、情報の公開）における具体的な作業手順や判断基準","ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための一連のプロセスにおける具体的な手順書を定義し、整備していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.3"]
["S(3)-1.1.2.3.3","標準","脆弱性対応演習や脆弱性対応プロセスの見直しに関する資料がある。","S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","-","○",null,"○",null,"S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応演習に関する規定\n・脆弱性対応プロセスの見直しに関する規定","ドキュメント評価：\n定義したポリシーの実効性を高めるため、脆弱性対応演習や脆弱性対応プロセスを見直す仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.3"]
["S(3)-1.2.1.1.1","最低限/標準","脆弱性対応に関する一連のプロセスにおいて、利害関係者とのコミュニケーションに関する資料や情報がある。","S(3)-1.2","コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。","S(3)-1.2.1","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","-","○",null,"○",null,"S(3)-1.2.1.1","評価項目１：脆弱性対応に関するコミュニケーション計画が存在すること。","■脆弱性対応に関するコミュニケーション計画のドキュメント\n・コミュニケーションに関する計画（例：役割、対象、内容、タイミング、方法、連絡体制）","ドキュメント評価：\n脆弱性対応に関するコミュニケーション計画を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n脆弱性の取扱に関するコミュニケーション計画には、誰が、誰に、何を、いつ、どのように連絡するかが含まれているかを確認する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1, RV.1.3"]
["S(3)-1.2.1.1.2","標準","脆弱性の深刻度に応じた手順やサービスレベルを含む詳細なコミュニケーション計画に関する資料や情報がある。","S(3)-1.2","コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。","S(3)-1.2.1","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","-","○",null,"○",null,"S(3)-1.2.1.1","評価項目１：脆弱性対応に関するコミュニケーション計画が存在すること。","■脆弱性対応に関するコミュニケーション計画のドキュメント\n・ステークホルダー別（例：脆弱性報告者、製品・サービスの利用者、サプライチェーンパートナー、監督官庁）のコミュニケーションに関する計画（例：役割、対象、内容、タイミング、方法、連絡体制）\n・脆弱性の深刻度（例：CVSSスコア）や影響範囲に応じて、コミュニケーションの対象、公開内容、公開タイミング等を定めた計画\n・関係者への一次応答時間、調査状況の定期的な連絡頻度など、コミュニケーションに関する具体的なサービスレベル","ドキュメント評価：\n脆弱性対応に関する詳細なコミュニケーション計画を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nステークホルダーや脆弱性の深刻度等に応じた詳細なコミュニケーション計画が策定されていることを確認する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1, RV.1.3"]
["S(3)-1.2.1.2.1","最低限/標準","外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付けるための連絡先を公開している。","S(3)-1.2","コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。","S(3)-1.2.1","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","-","○",null,"○",null,"S(3)-1.2.1.2","評価項目２：コミュニケーションチャネルを整備していること。","■コミュニケーションチャネルのドキュメント\n・脆弱性報告窓口（窓口情報が記載されたウェブページ、ウェブフォーム、専用メールアドレス等）、及びその窓口情報を公開する記述（組織のウェブサイト、製品ドキュメント等）\n・セキュリティアドバイザリ、注意喚起情報（掲載されたウェブページ等）","ドキュメント評価：\n脆弱性対応に関するコミュニケーションの一環として、外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付ける際に必要な連絡先を公開することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織のウェブサイト等を実際に確認し、脆弱性報告の窓口が利用者にわかりやすく提供されているかを確認する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1, RV.1.3"]
["S(3)-1.2.1.2.2","標準","脆弱性情報やセキュリティ勧告を公開する手段を利用者向けに整備している。","S(3)-1.2","コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。","S(3)-1.2.1","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","-","○",null,"○",null,"S(3)-1.2.1.2","評価項目２：コミュニケーションチャネルを整備していること。","■コミュニケーションチャネルのドキュメント\n・脆弱性報告窓口（窓口情報が記載されたウェブページ、ウェブフォーム、専用メールアドレス等）、及びその窓口情報を公開する記述（組織のウェブサイト、製品ドキュメント等）\n・セキュリティアドバイザリ、注意喚起情報（掲載されたウェブページ等）","ドキュメント評価：\n脆弱性の取扱に関するコミュニケーションの一環として、公開コミュニケーションチャネルを通じて、脆弱性情報やセキュリティ勧告を公開する手段を整備し、利用者が容易にアクセスできるような状態とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織のウェブサイト等を実際に確認し、脆弱性の情報公開の場が利用者にわかりやすく提供されているかを確認する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1, RV.1.3"]
["S(3)-1.3.1.1.1","最低限/標準","公的もしくは外部サービスとして提供される公知脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関連する脆弱性情報を収集した資料や情報がある。","S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","-","○",null,"○",null,"S(3)-1.3.1.1","評価項目１：公知の脆弱性情報源及び脅威インテリジェンスの監視結果が存在すること。","■脆弱性情報の監視・収集手続き及び結果のドキュメント\n・監視対象とする基本的な情報源のリスト（例：JVN、NVD）\n・収集した公知脆弱性の情報（例：脆弱性データベース、メーリングリスト、各種レポート）","ドキュメント評価：\nJVNやNVD等の公開もしくは外部サービスとして提供される脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関する脆弱性情報を収集するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合、設計・開発段階における脆弱性情報の監視・収集など、そのフェーズで対応すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1"]
["S(3)-1.3.1.1.2","標準","公知情報源に加え、外部の脅威インテリジェンスサービスや所属するISAC等、複数の情報源から情報を収集した資料や情報がある。","S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","-","○",null,"○",null,"S(3)-1.3.1.1","評価項目１：公知の脆弱性情報源及び脅威インテリジェンスの監視結果が存在すること。","■脆弱性情報の監視・収集手続き及び結果のドキュメント\n・監視対象とする情報源のリスト（例：利用している商用サービス名、加盟ISAC名など）\n・収集した脆弱性の情報（例：脅威インテリジェンスからのレポート等）","ドキュメント評価：\n外部の脅威インテリジェンスサービス等、複数の情報源から、ソフトウェア及びそのコンポーネントに関する脆弱性情報を継続的に収集するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合、設計・開発段階における脆弱性情報の監視・収集など、そのフェーズで対応すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1"]
["S(3)-1.3.1.2.1","最低限/標準","ソフトウェアコンポーネントの供給元（サプライヤー）から脆弱性情報を受け取った記録がある。","S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","-","○",null,"○",null,"S(3)-1.3.1.2","評価項目２：サプライチェーンからの脆弱性情報を受領した結果が存在すること。","■サプライチェーンから脆弱性情報を受領した結果に関するドキュメント\n・サプライヤーのセキュリティ連絡先\n・（受領済の場合）サプライヤーからの脆弱性情報","ドキュメント評価：\nソフトウェア及びそのコンポーネントに関する脆弱性情報を、サプライチェーンやソフトウェア調達者等から受領するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合（この場合は、サプライチェーンからの脆弱性情報の通知はないと考えられる）、サプライヤーからの情報収集窓口等を整理した、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1"]
["S(3)-1.3.1.3.1","最低限/標準","脆弱性対応に関するコミュニケーション計画に則り、脆弱性報告窓口として公開したチャネルから脆弱性情報を収集した資料や情報がある。","S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","-","○",null,"○",null,"S(3)-1.3.1.3","評価項目３：ソフトウェア調達者及び利用者からの脆弱性情報を受領した結果が存在すること。","■脆弱性報告窓口から脆弱性情報を受領した結果に関するドキュメント\n・公開した脆弱性報告窓口から受領した脆弱性情報（ソフトウェア調達者及び利用者、外部のセキュリティ研究者等からの報告を含む）","ドキュメント評価：\nソフトウェア及びそのコンポーネントに関する脆弱性情報を、脆弱性報告窓口を通じて利害関係者から受領するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合（この場合は、脆弱性情報の通知はないと考えられる）、情報収集窓口等を整理した、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1"]
["S(3)-1.3.2.1.1","最低限/標準","ソフトウェアを構成するコンポーネント（特にライブラリなどのサードパーティ製コンポーネント）の名称とバージョンを含む一覧に関する資料や情報がある。","S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.2","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","-","○",null,"○",null,"S(3)-1.3.2.1","評価項目１：収集対象のコンポーネントを特定していること。","■潜在的脆弱性情報を収集すべき対象を整理したドキュメント\n・ソフトウェアを構成するコンポーネントの一覧（例：管理台帳、スプレッドシート）","ドキュメント評価： \n脆弱性の分析に必要となる脆弱性情報を収集するため、ソフトウェアを構成するコンポーネントの基本的な情報を特定し、管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアを構成するコンポーネントのリストが存在することを確認する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1"]
["S(3)-1.3.2.1.2","標準","コンポーネント構成のトレーサビリティに関する情報の生成・更新プロセスを自動化または半自動化する環境を整備している場合、SBOMなどの標準的な形式の構成情報がある。","S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.2","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","-","○",null,"○",null,"S(3)-1.3.2.1","評価項目１：収集対象のコンポーネントを特定していること。","■潜在的脆弱性情報を収集すべき対象を整理したドキュメント\n・ソフトウェアを構成するコンポーネントの一覧（例：SBOMファイル（例：CycloneDX、SPDX形式））","ドキュメント評価： \n脆弱性の分析に必要となる脆弱性情報を収集するため、ソフトウェアのコンポーネント構成のトレーサビリティに関する情報を正確かつ効率的に特定し、管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nSBOM等の標準形式を活用した構成管理の自動化・継続的な実施を確認する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1"]
["S(3)-1.3.2.2.1","最低限/標準","コンポーネントの構成情報を利用した探索・分析に基づき、潜在的脆弱性の有無を確認した資料や情報がある。","S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.2","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","-","○",null,"○",null,"S(3)-1.3.2.2","評価項目２：特定したコンポーネント分析から潜在的脆弱性情報を収集した結果が存在する。","■潜在的脆弱性情報を収集した結果に関するドキュメント\n・特定したソフトウェアコンポーネントの構成情報の分析に基づいて収集した脆弱性情報","ドキュメント評価： \nソフトウェアのコンポーネントの構成情報を用いて脆弱性情報の探索・分析を行い、ソフトウェアに対する潜在的な脆弱性の有無を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.1"]
["S(3)-1.4.1.1.1","最低限/標準","リリース後のソフトウェアのコンポーネント構成情報と、収集した公知脆弱性情報とを突合し、影響を受ける可能性のある脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。","S(3)-1.4","未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。","S(3)-1.4.1","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","-","○",null,"○",null,"S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・公知脆弱性情報に基づく潜在的脆弱性の特定に関する継続的又は定期的な活動のための手続\n・公知脆弱性情報に基づく潜在的脆弱性の特定に関する活動の記録（特定した対処すべき脆弱性の記述を含む）","ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある、今まで未検出であった潜在的な脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的又は定期的に脆弱性を特定・確認するために、公知脆弱性情報との突合を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n「継続的又は定期的」とは、開発・運用するソフトウェアのリスクレベルや特性に応じて、組織が定めた頻度（例：年次、四半期毎、リリース毎や新たな脅威や技術環境の変化のタイミングなど）での実施を指す。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2"]
["S(3)-1.4.1.1.2","標準","リリース後のソフトウェアのコンポーネント構成情報と収集した脆弱性情報を活用し、コードとコンポーネントに対するレビュー、分析、テストの複数の手法を用いた、潜在的脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。","S(3)-1.4","未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。","S(3)-1.4.1","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","-","○",null,"○",null,"S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・レビュー、分析、テストに基づく潜在的脆弱性の特定に関する継続的又は定期的な活動のための手続\n・レビュー、分析、テストに基づく潜在的脆弱性の特定に関する活動の記録（特定した対処すべき脆弱性の記述を含む）","ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある、今まで未検出であった潜在的な脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的又は定期的に脆弱性を特定・確認するための活動（静的テスト（コードレビュー、静的解析ツールの利用など）とドキュメントのレビューを組み合わせるなど、レビュー、分析、テストの複数の手法を用いた脆弱性を特定するための調査など）を、組織内で定義されたプロセスと整合した計画に基づき実施していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n「継続的又は定期的」とは、開発・運用するソフトウェアのリスクレベルや特性に応じて、組織が定めた頻度（例：年次、四半期毎、リリース毎や新たな脅威や技術環境の変化のタイミングなど）での実施を指す。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2"]
["S(3)-1.4.1.1.3","標準","脆弱性を特定・確認するための活動の対象として、ソースコードだけでなく、設定ファイルや実行可能コードも考慮した記録がある。","S(3)-1.4","未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。","S(3)-1.4.1","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","-","○",null,"○",null,"S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・潜在的脆弱性の特定に関する活動の記録（対象として、設定ファイル、実行可能コードを含む）","ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的に脆弱性を特定・確認するための活動（レビュー、分析、テスト）において、対象として設定ファイルや実行可能コードも考慮していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2"]
["S(3)-2.1.1.1.1","最低限/標準","収集し識別した脆弱性について、対象ソフトウェアへの影響を判断するために必要な情報を更に収集していることがわかる基本的な資料や情報がある。","S(3)-2.1","脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。","S(3)-2.1.1","各脆弱性を分析、是正またはその他のリスク対応計画を検討するための十分な情報を収集していること。","-","○",null,null,null,"S(3)-2.1.1.1","評価項目１：収集し識別した脆弱性について、リスク分析や対応計画の検討に必要な情報が存在すること。","■各脆弱性への対応に必要な情報のドキュメント\n・収集し識別した脆弱性に関する情報（例：悪用方法、前提条件）","ドキュメント評価：\n収集した脆弱性情報のうちリスクへの影響が懸念されるものとして識別した脆弱性について、その脆弱性がもたらすリスクを分析し、修正等の対応計画を検討するために、必要な情報を収集していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本項目は、脆弱性情報を広く監視する定常的な活動（S(3)-1.3で評価）とは異なり、特定の脆弱性に対する詳細な調査活動そのものを評価対象とする。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.1"]
["S(3)-2.1.2.1.1","最低限/標準","収集し特定された脆弱性情報、及びその影響を判断するために収集した情報を前提として、脆弱性の深刻度及び影響の定性的な評価に関する資料や情報がある。","S(3)-2.1","脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。","S(3)-2.1.2","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","-","○",null,null,null,"S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","■脆弱性の影響分析のドキュメント\n・識別した脆弱性の深刻度及び影響を評価及び分析するための手続き\n・識別した脆弱性の悪用可能性の評価（影響）","ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、その脆弱性がもたらすリスクを評価するための分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、脆弱性が該当しないと考えられる）、当該段階において実施すべき手順など、現状あるべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.1"]
["S(3)-2.1.2.1.2","標準","CVSS等の標準的な評価基準を用いた深刻度に関する定量的な評価に関する資料や情報がある。","S(3)-2.1","脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。","S(3)-2.1.2","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","-","○",null,null,null,"S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","■脆弱性の影響分析のドキュメント\n・識別した脆弱性の悪用可能性の定量的評価（深刻度）","ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、その脆弱性がもたらすリスクを評価するための定量的な分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価者は、各脆弱性に関する分析結果が、客観的な根拠に基づいて記録されていることを確認する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.1"]
["S(3)-2.1.2.1.3","標準","攻撃コードの有無や悪用実績などを考慮して脆弱性がもたらす使用環境における実際のリスクを分析した資料や情報がある。","S(3)-2.1","脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。","S(3)-2.1.2","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","-","○",null,null,null,"S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","■脆弱性の影響分析のドキュメント\n・識別した脆弱性の悪用可能性の評価及び分析結果（例：脆弱性がもたらす使用環境における機密性、完全性、可用性への影響）","ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、ソフトウェアの使用環境を踏まえてその脆弱性がもたらすリスク（例：導入済みの緩和策の考慮）を評価するための分析を、組織内で定められた手続きに従って実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.1"]
["S(3)-2.2.1.1.1","最低限/標準","識別した脆弱性に対する対応方針及び優先順位付けに関する資料や情報がある。","S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.1","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","-","○",null,null,null,"S(3)-2.2.1.1","評価項目１：リスク分析・評価の結果に基づく脆弱性への対応方針が存在すること。","■脆弱性の対処方針を示すドキュメント\n・脆弱性への対応方針（例：是正、軽減、リスク受容）及び優先順位付け","ドキュメント評価：\n識別した脆弱性に対し、是正、軽減、リスク受容といった対応方針と優先度を決定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.2.1.1.2","標準","脆弱性の深刻度（CVSS等）や事業への影響度等を考慮したリスク評価に基づく、対応方針の策定根拠に関する資料や情報がある。","S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.1","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","-","○",null,null,null,"S(3)-2.2.1.1","評価項目１：リスク分析・評価の結果に基づく脆弱性への対応方針が存在すること。","■脆弱性の分析・評価に基づく対処方針を示すドキュメント\n・評価結果に基づく脆弱性への対応方針（是正、軽減、リスク受容等）及び優先順位付け\n・対応方針の策定根拠（例：対応、受容等の効果判定）","ドキュメント評価：\n識別した脆弱性に対し、脆弱性の深刻度や事業への影響度等を考慮したリスク分析・評価を行い、その結果に基づいて、是正、軽減、リスク受容といった対応方針を決定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.2.1.2.1","最低限/標準","対応方針が決定された脆弱性について、対応計画に関する資料がある。","S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.1","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","-","○",null,null,null,"S(3)-2.2.1.2","評価項目２：決定した対応方針に基づく対応計画が存在すること。","■脆弱性への対応計画に関するドキュメント\n・対応計画（例：担当者、対応方法、対応スケジュール）","ドキュメント評価：\n識別した脆弱性に対し、対応計画を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.2.1.2.2","標準","対応の緊急度（例：緊急、高、中、低）に基づく具体的な対応計画に関する資料がある。","S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.1","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","-","○",null,null,null,"S(3)-2.2.1.2","評価項目２：決定した対応方針に基づく対応計画が存在すること。","■脆弱性への対応計画に関するドキュメント\n・対応計画（例：担当者、対応方法、対応スケジュール、緊急度に基づく対応期限）","ドキュメント評価：\n識別した脆弱性に対し、対応方針に従って優先順位を付け、具体的な対応計画を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.2.2.1.1","最低限/標準","識別した脆弱性に対して策定した対応計画に従ってリスク対応を実施したことを示す記録がある。","S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.2","決定した対応アクションを実施していること。","-","○",null,null,null,"S(3)-2.2.2.1","評価項目１：識別した脆弱性に対するリスク対応を実施していること。","■リスク対応の実施結果のドキュメント\n・リスク対応の実施結果（例：パッチ準備、対応内容を含むリリースノート、変更履歴、設定変更の通知準備）","ドキュメント評価：\n策定した対応計画に従って、識別した脆弱性へのリスク対応アクションを実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nリスク受容など具体的な対応を実施しない場合は、評価を割愛できる。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.2.2.2.1","最低限/標準","脆弱性対応の実装後に、その対応内容を確認するためのテスト又は検証を実施した結果に関する資料や情報がある。","S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.2","決定した対応アクションを実施していること。","-","○",null,null,null,"S(3)-2.2.2.2","評価項目２：脆弱性対応の実装後のテスト・検証結果が文書化されていること。","■実装後のテスト結果のドキュメント\n・脆弱性対応の実装に関するテスト計画、テスト結果","ドキュメント評価：\n策定した対応計画に従って、識別した脆弱性へのリスク対応アクションとして何らかの実装が行われた場合、その実装が意図通りに残存する脆弱性を解消し、かつ他の悪影響を生まないことを確認したテスト・検証活動を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n実装を伴わない場合には、評価を割愛できる。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.3.1.1.1","最低限/標準","脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告に関する資料や情報がある。","S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.1","開発者は、脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告を作成し、ソフトウェアの供給先に提供していること。","-","○","○","○",null,"S(3)-2.3.1.1","評価項目１：セキュリティ勧告が存在すること。","■セキュリティ勧告に関するドキュメント\n・発行済みのセキュリティ勧告（脆弱性の内容、影響を受ける製品やバージョン、深刻度、考えられる影響、対処方法（例：パッチの入手先、パッチ適用方法、変更すべき構成設定、暫定的な回避策）を含む）","ドキュメント評価： \n開発者として、識別し対応内容を検証済みとした脆弱性に関するセキュリティ勧告を作成していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、勧告が発行されていない場合であっても、勧告の発行と提供に関する手続きが文書で定められていることを確認する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.3.1.2.1","最低限/標準","ソフトウェアの供給先へセキュリティ勧告を提供するための手続があり、それに従って提供した記録がある。","S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.1","開発者は、脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告を作成し、ソフトウェアの供給先に提供していること。","-","○","○","○",null,"S(3)-2.3.1.2","評価項目２：セキュリティ勧告を供給先に提供するプロセスに従って提供していること。","■セキュリティ勧告の提供プロセスに関するドキュメント\n・セキュリティ勧告の発行に関する手続き（実施手順（例：ウェブサイトの公開、メール通知）、発行基準など）\n・セキュリティ勧告の公開記録（例：ウェブサイトの公開履歴のスクリーンショット、メールの送信ログ、ポータルサイトへの掲載記録など、提供の事実を示す記録）","ドキュメント評価： \n開発者として、識別し対応内容を検証済みとした脆弱性に関するセキュリティ勧告をソフトウェアの供給先に提供するプロセスを確立し、運用していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.3.2.1.1","最低限/標準","脆弱性届出制度から情報提供を受けた際の対応について、情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続きに基づく対応手順に関する資料や情報がある。","S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.2","脆弱性届出制度に基づいて情報提供を受けた脆弱性については、情報セキュリティ早期警戒パートナーシップガイドラインを踏まえた対応を行っていること。","-","○","○","○",null,"S(3)-2.3.2.1","評価項目１：脆弱性届出制度から情報提供を受けた際の対応手順が存在すること。","■脆弱性の対処に関するドキュメント\n・情報セキュリティ早期警戒パートナーシップガイドラインに準拠した脆弱性対応に関する手順の記述\n・脆弱性届出制度から情報提供を受けた際の対応の記録","ドキュメント評価： \n脆弱性届出制度に基づいて脆弱性情報の提供を受けた際の対応手順が、情報セキュリティ早期警戒パートナーシップガイドラインに準拠して定義され、その手順に従って実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続き）に準拠した対応手順が文書で定められていることを確認する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.1.3"]
["S(3)-2.3.3.1.1","最低限/標準","開発者や供給者等から発行されたセキュリティ勧告を受領し、影響評価を行った資料や記録がある。","S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.3","運用者は、セキュリティ勧告にしたがった対策を実施していること。","-",null,null,"○",null,"S(3)-2.3.3.1","評価項目１：セキュリティ勧告の影響評価の結果が存在すること。","■セキュリティ勧告の影響評価に関するドキュメント\n・セキュリティ勧告の影響評価結果（例：ソフトウェアの利用、関連システムの運用、組織への影響）","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告を受領し、その勧告に従う場合の影響を評価していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（セキュリティ勧告に基づく影響評価）に準拠した対応手順が文書で定められていることを確認する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.3.3.1.2","標準","代替策の実施やリスク受容等を承認する根拠となる資料や情報がある。","S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.3","運用者は、セキュリティ勧告にしたがった対策を実施していること。","-",null,null,"○",null,"S(3)-2.3.3.1","評価項目１：セキュリティ勧告の影響評価の結果が存在すること。","■セキュリティ勧告の影響評価に関するドキュメント\n・セキュリティ勧告に従った対応策以外の代替策の根拠情報","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告の評価に基づき、対策を実施しない（リスク受容）判断を行った場合、根拠に基づき代替策を承認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（セキュリティ勧告に従わない場合の対応、及びその承認に関する手続き）に準拠した対応手順が文書で定められていることを確認する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.3.3.2.1","最低限/標準","セキュリティ勧告の影響評価の結果に基づく、対策（例：パッチの配備、設定変更）の計画の資料や情報がある。","S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.3","運用者は、セキュリティ勧告にしたがった対策を実施していること。","-",null,null,"○",null,"S(3)-2.3.3.2","評価項目２：評価結果に基づく対策の計画と実施結果が存在すること。","■セキュリティ勧告への対応計画に関するドキュメント\n・セキュリティ対策の達成手段（例：パッチ、設定変更、代替策の実施）の実施計画","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告に関する影響評価の結果に基づき、対策（パッチの配備等）を計画・実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-2.3.3.2.2","標準","運用者として対策を適用する前に、事前検証を実施した記録がある。","S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.3","運用者は、セキュリティ勧告にしたがった対策を実施していること。","-",null,null,"○",null,"S(3)-2.3.3.2","評価項目２：評価結果に基づく対策の計画と実施結果が存在すること。","■セキュリティ勧告への対応時の事前検証に関するドキュメント\n・セキュリティ対策の検証結果","ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告に基づく対策（パッチの配備等）を実施する前に、事前検証を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対策の実施だけでなく、対策を実施しない（リスク受容）判断についてもその承認に十分な根拠情報を確認する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.2.2"]
["S(3)-3.1.1.1.1","標準","発見された脆弱性に対して、根本原因を分析・特定した資料や情報がある。","S(3)-3.1","根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。","S(3)-3.1.1","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","-","○",null,"○",null,"S(3)-3.1.1.1","評価項目１：脆弱性の根本原因を分析・特定した結果が存在すること。","■根本原因の分析結果に関するドキュメント\n・根本原因の分析結果（特定した根本原因を含む）","ドキュメント評価：\n発見された脆弱性に対して、その直接的な原因の修正に留まらず、なぜその脆弱性が作り込まれたのかという根本原因を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.3.1, RV.3.2"]
["S(3)-3.1.1.1.2","標準","根本原因を長期にわたり分析するための情報収集の手続きに関する資料や情報がある。","S(3)-3.1","根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。","S(3)-3.1.1","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","-","○",null,"○",null,"S(3)-3.1.1.1","評価項目１：脆弱性の根本原因を分析・特定した結果が存在すること。","■根本原因の分析結果に関するドキュメント\n・根本原因を長期にわたり分析するための情報収集の手段と手続き（根本原因の発生を自動的又は半自動的に検出する仕組み、一連のプラクティスのパターンに着目した情報収集など）","ドキュメント評価：\n発見された脆弱性に対して、その直接的な原因の修正に留まらず、なぜその脆弱性が作り込まれたのかという根本原因を特定するための情報収集を長期にわたり実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.3.1, RV.3.2"]
["S(3)-3.1.1.2.1","標準","過去に検出された脆弱性の根本原因分析の結果に基づき、同種の脆弱性を組織内の他のソフトウェアから探索・特定し、同種の脆弱性を排除するための活動を計画・実施した資料や情報がある。","S(3)-3.1","根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。","S(3)-3.1.1","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","-","○",null,"○",null,"S(3)-3.1.1.2","評価項目２：脆弱性の発生頻度低減を目的とした活動の計画と実施記録が存在すること。","■脆弱性の発生頻度低減活動に関するドキュメント\n・類似脆弱性の探索・特定のための活動計画（例：レビューチェックリスト、テストケース）","ドキュメント評価：\n発見された複数の脆弱性から共通する組織的な弱点や傾向を特定し、同種の脆弱性が組織内の他のソフトウェアに存在しないかを探索し、その脆弱性の発生頻度を低減する活動（水平展開）を計画・実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.3.1, RV.3.2"]
["S(3)-3.2.1.1.1","標準","根本原因分析に基づき、プロセスや慣行を見直し、更新したプロセスを定義した資料や情報がある。","S(3)-3.2","プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。","S(3)-3.2.1","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","-","○",null,"○",null,"S(3)-3.2.1.1","評価項目１：更新したプロセスを定義していること。","■更新したプロセスを定義したドキュメント\n・改訂された手順書（例：開発標準、コーディング規約、テスト手順書、運用手順書）","ドキュメント評価：\n特定された脆弱性の根本原因が、今後の開発・運用プロセスにおいて再発することを防ぐために、プロセス自体の見直しと改善を適切に計画、実装していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n根本原因の分析結果を起点として、プロセス改善の計画策定、規程類への反映という一連の流れが、文書間で追跡可能であることを確認する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.3.4"]
["S(3)-3.2.1.2.1","標準","改訂されたプロセスや慣行を、開発者や運用者等の関係者に周知した記録がある。","S(3)-3.2","プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。","S(3)-3.2.1","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","-","○",null,"○",null,"S(3)-3.2.1.2","評価項目２：再発防止策の実装に関する記録が存在すること。","■再発防止策の実装と展開の状況に関する記録\n・関係者への周知記録（通知メール、回覧記録等）\n・教育・研修の実施記録（例：研修資料、受講者リスト、理解度テスト結果）","ドキュメント評価：\n特定された脆弱性の根本原因が、今後の開発・運用プロセスにおいて再発することを防ぐために、見直しと改善を実施したプロセス自体を、開発者や運用者等の関係者に展開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.3.4"]
["S(3)-3.2.1.2.2","標準","特定した脆弱性の根本原因が再発していないかを継続的に監視している記録がある。","S(3)-3.2","プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。","S(3)-3.2.1","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","-","○",null,"○",null,"S(3)-3.2.1.2","評価項目２：再発防止策の実装に関する記録が存在すること。","■再発防止策の実装と展開の状況に関する記録\n・リリース後に、特定した既知脆弱性の根本原因が再発していないことの監視記録","ドキュメント評価：\n特定した脆弱性の根本原因が、開発・運用プロセスにおいて再発していないか監視していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：RV.3.4"]
["S(4)-1.1.1.1.1","標準","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義した資料がある。","S(4)-1.1","役割と責務の定義","ソフトウェア開発ライフサイクルを網羅する役割と責務を定義する。","S(4)-1.1.1","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義し、ソフトウェア開発・供給・運用の全要員に対して割り当てていること。","-","○","○","○",null,"S(4)-1.1.1.1","評価項目１：ソフトウェア開発ライフサイクルの全ての役割と責務が定義されていること。","■ソフトウェア開発・供給・運用関連の全ての役割と責務を定義したドキュメント\n・ソフトウェア開発・供給・運用に関わる人員の全ての役割と責務の一覧（例：セキュリティ管理、リスク管理、サプライチェーン管理に係るすべての役割と責任）","ドキュメント評価： \nソフトウェア開発ライフサイクル関連の役割と責務を網羅的に定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の定義前と考えられる）、当該段階において割り当てられているべき役割と責務に関する策定済の定義など、現状あるべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.1"]
["S(4)-1.1.1.2.1","標準","ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていることを示す資料や情報がある。","S(4)-1.1","役割と責務の定義","ソフトウェア開発ライフサイクルを網羅する役割と責務を定義する。","S(4)-1.1.1","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義し、ソフトウェア開発・供給・運用の全要員に対して割り当てていること。","-","○","○","○",null,"S(4)-1.1.1.2","評価項目２：ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていること。","■ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務の割り当てを示すドキュメント\n・全要員への役割と責務の割り当ての一覧","ドキュメント評価： \nソフトウェア開発ライフサイクル関連の役割と責務をソフトウェア開発・供給・運用の全要員に対して割り当てていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の全要員への割り当ての実施前と考えられる）、当該段階において割り当てられているべき役割と責務に関する策定済の定義など、現状あるべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.1"]
["S(4)-1.2.1.1.1","最低限/標準","セキュアな開発・運用について、経営層に報告、あるいは理解を促進するための活動を実施した資料や情報がある。","S(4)-1.2","経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。","S(4)-1.2.1","経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減への認識が高めていること。その上で、セキュア開発に対する経営層のコミットメントを得ていること。","-","○","○","○",null,"S(4)-1.2.1.1","評価項目１：経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュア開発によるリスク軽減への認識を高める活動を実施した記録が存在すること。","■セキュアな開発・運用に対する経営層の関与を示すドキュメント\n・経営層（例：経営トップ、上級マネジメント、承認権限者）へのリスク及び、リスク軽減に関する報告（リスク分析結果やセキュア開発の取組方針の説明）\n・経営層での報告や議論、説明会の記録（例：会議録）\n■経営層へのインタビュー\n・SDLCにセキュリティを組み込まないことによるリスク（例：脆弱性の残存などによるビジネス損失）とセキュア開発によるリスク軽減（例：脆弱性の早期発見などによるビジネス損失の防止）に関する経営層の認識","ドキュメント評価： \nインタビュー評価： \nSDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減を経営層が、理解していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメント及び、経営層へのインタビュー等をエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.3"]
["S(4)-1.2.1.2.1","最低限/標準","セキュアな開発・運用の必要性を可視化しその推進方針等を、経営層が承認した資料や情報がある。","S(4)-1.2","経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。","S(4)-1.2.1","経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減への認識が高めていること。その上で、セキュア開発に対する経営層のコミットメントを得ていること。","-","○","○","○",null,"S(4)-1.2.1.2","評価項目２：セキュア開発に対して経営層がコミットしていること。","■セキュアな開発・運用に対する経営層のコミットメントに関するドキュメント\n・セキュアな開発・運用に対する組織としての推進方針（例：社内通達での経営メッセージ、組織としてのセキュリティポリシー）","ドキュメント評価：\n組織としてセキュアな開発・運用に取り組むことを経営層が推進方針としていることを、責務として認識し実施していることについて「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.3"]
["S(4)-1.2.2.1.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュアな開発・運用の推進方針を周知した記録がある。","S(4)-1.2","経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。","S(4)-1.2.2","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュア開発・運用に関するコミットメントを周知し、組織にとってのセキュア開発・運用の重要性を教育していること。","-","○","○","○",null,"S(4)-1.2.2.1","評価項目１：セキュアな開発・運用へのコミットメントを周知していること。","■セキュアな開発・運用に対する経営層のコミットメントの周知に関する記録\n・ソフトウェア開発・供給・運用の関連役割を持つ全担当者への、経営層（例：経営トップ、上級マネジメント、承認権限者）のセキュアな開発・運用への推進方針の周知記録（例：社内通達）","ドキュメント評価： \nセキュアな開発・運用に対する経営層のコミットメントがソフトウェア開発・供給・運用の関連役割を持つ全担当者に届く仕組みを提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.3"]
["S(4)-1.2.2.2.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に対する、組織にとってのセキュアな開発・運用の重要性に関する教育の資料や情報がある。","S(4)-1.2","経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。","S(4)-1.2.2","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュア開発・運用に関するコミットメントを周知し、組織にとってのセキュア開発・運用の重要性を教育していること。","-","○","○","○",null,"S(4)-1.2.2.2","評価項目２：組織にとってのセキュア開発の重要性を教育していること。","■セキュアな開発・運用に関わる教育のドキュメント\n・ソフトウェア開発供給運用の関連役割を持つ全担当者向けのセキュア開発に関する教育（例：教育計画、教育プログラム）","ドキュメント評価： \nソフトウェア開発・供給・運用の関連役割を持つ全担当者に対して、セキュアな開発・運用の重要性を理解させるための仕組みを提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.3"]
["S(4)-1.3.1.1.1","標準","セキュアな開発・運用の役割と責務について各要員が理解したことを示す資料や情報が存在すること。","S(4)-1.3","役割と責務の同意","各要員が、役割と責務を認識・同意していることを確認する。","S(4)-1.3.1","セキュアな開発・運用の役割と責務について各要員が理解し、同意しているか確認していること。","-","○","○","○",null,"S(4)-1.3.1.1","評価項目１：役割と責務について各要員が理解していることを示す記録が存在すること。","■役割と責務について各要員の理解を示すドキュメント\n・セキュアな開発・運用の役割と責務の理解を促進する手続きに関する記録（例：役割と責務の一覧とトレーニング計画とその記録）","ドキュメント評価：\nセキュアな開発・運用の役割と責務を各要員が理解していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の定義の実施前と考えられる）、役割と責務の理解促進の手続きなど、現状あるべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.1"]
["S(4)-1.3.1.2.1","標準","セキュアな開発・運用の役割と責務について各要員が同意することを確認した資料や情報がある。","S(4)-1.3","役割と責務の同意","各要員が、役割と責務を認識・同意していることを確認する。","S(4)-1.3.1","セキュアな開発・運用の役割と責務について各要員が理解し、同意しているか確認していること。","-","○","○","○",null,"S(4)-1.3.1.2","評価項目２：各要員が役割と責務について同意していることを確認した記録が存在すること。","■役割と責務についての同意取得に関するドキュメント\n・役割と責務について同意していることを示す記録（例：全要員の誓約書）\n\n■役割と責務についての同意取得に関するインタビュー\n・役割と責務について同意していることの認識（例：主要な役割の担当をサンプリング）","ドキュメント評価：\nインタビュー評価：\nセキュアな開発・運用の役割と責務について各要員が従うことに同意しているか確認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントやインタビューをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全要員への役割と責務の割り当ての実施前と考えられる）、役割と責務の同意の手続きなど、現状あるべきドキュメントを評価し、現要員の認識についてインタビューや関連するドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.1"]
["S(4)-1.4.1.1.1","標準","セキュアな開発・運用に関する習熟度に応じたトレーニングの目標が定義され、その測定方法、トレーニングカリキュラムに関する資料や情報がある。","S(4)-1.4","各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。","S(4)-1.4.1","セキュアな開発・運用のトレーニング計画に、習熟度と役割に応じた目標と成果の測定プロセス、各役割の望ましい結果達成に必要なトレーニングの種類やカリキュラムを含めていること。","-","○","○","○",null,"S(4)-1.4.1.1","評価項目１：トレーニング計画が存在すること。","■トレーニング計画のドキュメント\n・トレーニングの成果測定のプロセス（測定方法（例：理解度テスト、受講後アンケート等）、判断方法、基準等）\n・各役割のトレーニング目標とその達成に必要なトレーニングカリキュラム","ドキュメント評価：\nセキュアな開発・運用に関する各役割の習熟度に応じたトレーニングの目標に基づき、トレーニングを設計し、その効果を測定する仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.2"]
["S(4)-1.4.2.1.1","標準","セキュアな開発・運用に関するトレーニング計画を実現するためのトレーニングを受講できるように提供している資料や情報があること。","S(4)-1.4","各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。","S(4)-1.4.2","全要員に習熟度と役割に応じてトレーニングを提供していること。","-","○","○","○",null,"S(4)-1.4.2.1","評価項目１：トレーニングコンテンツが存在すること。","■トレーニングのコンテンツに関するドキュメント\n・教育コンテンツ（例：セキュアなソフトウェア開発手法、セキュアコーディング標準、役割固有のベストプラクティス、AI サポートによる自動化支援（品質向上）の手法）","ドキュメント評価： \n全要員に習熟度と役割に応じたセキュアな開発・運用に関するトレーニング環境を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.2"]
["S(4)-1.4.2.2.1","標準","セキュアな開発・運用に関するトレーニング計画に基づき、全要員が習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを受講したことに関する記録がある。","S(4)-1.4","各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。","S(4)-1.4.2","全要員に習熟度と役割に応じてトレーニングを提供していること。","-","○","○","○",null,"S(4)-1.4.2.2","評価項目２：トレーニングを提供した記録が存在すること。","■トレーニングを実施した記録\n・習熟度と役割に応じた全要員のトレーニング記録（例：受講履歴）","ドキュメント評価： \n全要員に対して習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n全要員へのトレーニングが完了していない段階では、トレーニングの実施計画や未受講者への督促記録など、現状あるべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.2"]
["S(4)-1.5.1.1.1","標準","セキュアな開発運用に関わる定期的又は継続的な役割の見直し手続きが定義された資料や情報がある。","S(4)-1.5","役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。","S(4)-1.5.1","全ての役割について環境変化のタイミング、及び定期的にレビューを実施し、新しい役割作成、既存の役割の変更・維持を行っていること。","-","○","○","○",null,"S(4)-1.5.1.1","評価項目１：新しい役割作成、既存役割の見直しに関する手続きが存在すること。","■役割に関するレビュー計画のドキュメント\n・役割の見直しに関するレビュー計画\n・役割の見直し（例：新しい役割の設定、既存の役割の変更）に関する手続き","ドキュメント評価： \nセキュアな開発・運用の全ての役割を、定期的又は継続的に見直す仕組みを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.1"]
["S(4)-1.5.1.2.1","標準","レビューに基づく、セキュアな開発・運用に関わる新しい役割の設定や既存の役割の変更に関する記録がある。","S(4)-1.5","役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。","S(4)-1.5.1","全ての役割について環境変化のタイミング、及び定期的にレビューを実施し、新しい役割作成、既存の役割の変更・維持を行っていること。","-","○","○","○",null,"S(4)-1.5.1.2","評価項目２：新しい役割作成、既存役割の見直した記録が存在すること。","■役割に関するレビューの結果のドキュメント\n・セキュアな開発・運用に関する全ての役割の更新記録\n・セキュアな開発・運用の全ての役割に関するレビュー結果（例：定期的なレビュー会議の記録、開発体制の見直しや新たな技術の導入、重大インシデントの発生などに伴うレビュー記録）","ドキュメント評価： \nセキュアな開発・運用の全ての役割を、定期的又は継続的に見直す仕組みが機能することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のプロジェクトの初期段階である場合（この場合は、全ての役割の見直し前と考えられる）、記録の確認は省略することができる。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.1"]
["S(4)-1.5.2.1.1","標準","トレーニング効果の測定結果の分析に基づき、セキュアな開発・運用に関わるトレーニングプログラムを更新した記録がある。","S(4)-1.5","役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。","S(4)-1.5.2","トレーニング効果を測定し、トレーニングの変更が有益となる可能性のある領域を特定した上で、要員の習熟度と役割ベースのトレーニングを、必要に応じて更新していること。","-","○","○","○",null,"S(4)-1.5.2.1","評価項目１：トレーニングプログラムを更新した記録が存在すること。","■トレーニングプログラムに関する更新の記録\n・トレーニングプログラムの更新プロセス（例：トレーニングの更新タイミング、更新計画の策定手順）\n・トレーニングパフォーマンスの測定結果の分析に基づくトレーニングカリキュラムの変更内容","ドキュメント評価： \n要員の習熟度と役割ベースのトレーニングの効果測定に基づき、セキュアな開発・運用に関わるトレーニングを改善することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.2、PO.3"]
["S(4)-2.1.1.1.1","最低限/標準","ソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","S(4)-2.1","ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-2.1.1","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","-","○",null,null,null,"S(4)-2.1.1.1","評価項目１：ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わるセキュリティ要件を特定した方針が存在すること。","■ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関する基本的なセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","ドキュメント評価：\nセキュア開発の土台となるソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.1、PO.3.2"]
["S(4)-2.1.1.1.2","標準","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","S(4)-2.1","ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-2.1.1","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","-","○",null,null,null,"S(4)-2.1.1.1","評価項目１：ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わるセキュリティ要件を特定した方針が存在すること。","■ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関する全てのセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","ドキュメント評価：\nSDLC全体を通じたセキュア開発の土台となるソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わる全てのセキュリティ要件をリスクベースで特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.1、PO.3.2"]
["S(4)-2.1.2.1.1","最低限/標準","ソフトウェア開発の観点から、事業に関連する主要な法規制をリストした資料や情報がある。","S(4)-2.1","ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-2.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","-","○",null,null,null,"S(4)-2.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","■外部要件の整理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる社内ポリシーが満たすべき、主要な法的要件からの要求事項を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"]
["S(4)-2.1.2.1.2","標準","ソフトウェア開発の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。","S(4)-2.1","ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-2.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","-","○",null,null,null,"S(4)-2.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","■外部要件の管理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）・業界標準（例：Shifting the Balance of Cybersecurity Risk, FISC安全対策基準）・業界のベストプラクティスに関するリスト\n・外部要件の改訂等を監視・収集する手順","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる社内ポリシーが満たすべき、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準といった外部からの要求事項を整理・追跡していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"]
["S(4)-2.2.1.1.1","最低限/標準","開発するソフトウェアに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。","S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。","S(4)-2.2.1","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-","○",null,null,null,"S(4)-2.2.1.1","評価項目１：開発ソフトウェアに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","■開発ソフトウェアに適用するセキュリティ要件を定めたドキュメント\n・開発ソフトウェアに関する基本的なセキュリティ要件\n例：セキュアバイデザインの考慮、ソフトウェアの寿命（EOL/EOS）に関する基本的な考え方、基本的なアーキテクチャ、設計レベルのセキュリティ要件","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、基本的なソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.1、PO.1.2"]
["S(4)-2.2.1.1.2","標準","開発するソフトウェアに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。","S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。","S(4)-2.2.1","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-","○",null,null,null,"S(4)-2.2.1.1","評価項目１：開発ソフトウェアに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","■開発ソフトウェアに適用するセキュリティ要件を定めたドキュメント\n・開発ソフトウェアに関するSDLC全体にわたるセキュリティ要件\n例：扱うデータの機微度、公開範囲等に応じたアーキテクチャ、設計、実装レベルの要件、、ライフサイクルのチェックポイントにおける検証フロー要件","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、SDLC全体にわたるセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n一律のセキュリティ要件を定義する代わりに、リスクベースでの分析を行い、具体的なアーキテクチャや設計、ライフサイクル管理の要件を規定してもよい。\nなお、本評価では、組織共通のセキュリティ要件定義を特定しており、(1)-1では、個別プロジェクトのセキュリティ要件を定義する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.1、PO.1.2"]
["S(4)-2.2.1.2.1","最低限/標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。","S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。","S(4)-2.2.1","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-","○",null,null,null,"S(4)-2.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","■レビューの記録\n・ソフトウェアに適用するセキュリティ要件を規定したポリシーの見直し履歴","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、ソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を規定したポリシーを見直ししていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.1、PO.1.2"]
["S(4)-2.2.1.2.2","標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーについて定期的又は継続的にレビューを実施した記録がある。","S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。","S(4)-2.2.1","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-","○",null,null,null,"S(4)-2.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","■レビューの記録\n・ソフトウェアに適用するセキュリティ要件を規定したポリシーの定期的又は継続的な見直し履歴","ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、ソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を維持するために、外部環境等の変化に対応して定期的又は継続的に規定したポリシーを更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nSDLC全体にわたってセキュリティ要件をレビューすることに注意する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.1、PO.1.2"]
["S(4)-2.3.1.1.1","最低限/標準","ソフトウェア開発に関わるセキュリティ活動のための予算が承認されていることを示す記録がある。","S(4)-2.3","費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。","S(4)-2.3.1","経営層が、セキュア開発によるリスク軽減とコスト、影響を理解し、適切な予算を確保していること。","-","○",null,null,null,"S(4)-2.3.1.2",null,"■予算の実行状況に関する記録\n・セキュア開発活動に関する、もしくはセキュア開発活動を含む予算の承認記録（例：計画書、稟議書、予算執行実績）","ドキュメント評価：\nセキュア開発を支えるため、経営層が、セキュリティ対策の必要性、コスト、影響を理解した上で、適切な予算を確保することを責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"]
["S(4)-2.3.1.1.2","標準","セキュリティ対策の必要性、コスト、影響を踏まえたセキュア開発方針に関する予算が承認されていることを示す記録がある。","S(4)-2.3","費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。","S(4)-2.3.1","経営層が、セキュア開発によるリスク軽減とコスト、影響を理解し、適切な予算を確保していること。","-","○",null,null,null,"S(4)-2.3.1.2",null,"■予算の実行状況に関する記録\n・セキュア開発活動に関する、もしくはセキュア開発活動を含む予算の承認記録（例：計画書、稟議書、予算執行実績）","ドキュメント評価：\nセキュア開発を支えるため、経営層が、セキュリティ対策の必要性、コスト、影響を理解した上で、セキュア開発方針に関する予算を確保することを責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。なお、計画・見込み等により考慮されていることを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"]
["S(4)-2.3.2.1.1","最低限/標準","経営層やプロジェクト責任者が、脆弱性の放置が将来のコスト増に繋がることをリスクとして認識していることを示す資料や情報がある。","S(4)-2.3","費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。","S(4)-2.3.2","経営層を含む関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債につながることを共通の経営リスクとして認識していること。","-","○",null,null,null,"S(4)-2.3.2.1","評価項目１：脆弱性の放置リスクの概念が組織内で理解・共有されていること。","■経営層等へのインタビュー\n・経営層、プロジェクト責任者の脆弱性放置に関するリスク認識（インタビュー、もしくはその記録等）\n\n■経営層のリスク認識を反映したドキュメント\n・経営層での報告や議論の記録（例：会議録）","インタビュー評価：\nドキュメント評価：\n経営者やプロジェクト責任者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債（サイバー攻撃による損害など）につながることを共通の経営リスクとして認識することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n特に経営層の認識については、関係者へのインタビューの他、要員の認識向上の取組を示す教育記録等の評価方法を採用することも考えられる。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.3、NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"]
["S(4)-2.3.2.1.2","標準","脆弱性放置のリスクに関する、全社的なセキュリティ教育や開発者向けトレーニング等の啓発活動の資料や情報がある。","S(4)-2.3","費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。","S(4)-2.3.2","経営層を含む関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債につながることを共通の経営リスクとして認識していること。","-","○",null,null,null,"S(4)-2.3.2.1","評価項目１：脆弱性の放置リスクの概念が組織内で理解・共有されていること。","■全社員の認識に関するドキュメント\n・脆弱性放置がもたらすリスクに関する教育記録、教育プログラム","ドキュメント評価：\n経営者を含む全ての関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債（サイバー攻撃による損害など）につながることを共通の経営リスクとして認識することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.2.3、NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"]
["S(4)-3.1.1.1.1","最低限/標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-3.1.1","運用者が、SDLC全体を通じたソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","-",null,null,"○",null,"S(4)-3.1.1.1","評価項目１：ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びプロセスに関わるセキュリティ要件を特定した方針が存在すること。","■ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びソフトウェア運用プロセスに関する基本的なセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","ドキュメント評価：\nセキュアなソフトウェアサービス運用の土台となるサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nなお、S(4)-2が開発フェーズに焦点を当てており、S(4)-3は運用フェーズに焦点を当てる。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.1、PO.3.2"]
["S(4)-3.1.1.1.2","標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。","S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-3.1.1","運用者が、SDLC全体を通じたソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","-",null,null,"○",null,"S(4)-3.1.1.1","評価項目１：ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びプロセスに関わるセキュリティ要件を特定した方針が存在すること。","■ソフトウェアを適用したサービス運用プロセスに関する全てのセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント","ドキュメント評価：\nセキュアなソフトウェアサービス運用の土台となるサービス運用プロセスに関わる全てのセキュリティ要件をリスクベースで特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.1.1、PO.3.2"]
["S(4)-3.1.2.1.1","最低限/標準","ソフトウェア運用の観点から、事業に関連する主要な法規制をリストした資料や情報がある。","S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-3.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","-",null,null,"○",null,"S(4)-3.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","■外部要件の整理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、ソフトウェアを適用したサービス運用インフラ・プロセスに関わる社内ポリシーが満たすべき、主要な法的要件からの要求事項を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1、ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.1.2.1.2","標準","ソフトウェア運用の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。","S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-3.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","-",null,null,"○",null,"S(4)-3.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","■外部要件の管理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）・業界標準（例：ISMAP、ISO/IEC 27001, PCI DSS, FISC安全対策基準）・業界のペストプラクティスに関するリスト\n・外部要件の改訂等を監視・収集する手順","ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、ソフトウェアを適用したサービス運用インフラ・プロセスに関わる社内ポリシーが満たすべき、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準といった外部からの要求事項を整理・追跡していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1、ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.2.1.1.1","最低限/標準","ソフトウェアを適用したサービスに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。","S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-",null,null,"○",null,"S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関する基本的なセキュリティ要件\n例：責任共有モデル等のソフトウェアを適用したサービスに関する基本的な考え方、ソフトウェアの寿命（EOS、廃棄）に関する基本的な考え方、基本的な運用要件（顧客データのバックアップ、ログの取得・保管、インシデント発生時の連絡体制、データの完全性確保対応、環境の分離等）","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、基本的なセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.2.1.1.2","最低限/標準","サービス運用者としてのセキュリティ責任範囲を定義した資料がある。","S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-",null,null,"○",null,"S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティの責任範囲","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ責任範囲を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.2.1.1.3","標準","ソフトウェア及びこれを適用したサービスに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。","S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-",null,null,"○",null,"S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティ要件\n例：ライフサイクル全体にわたる扱うデータの機微度、公開範囲等に応じた、提供するサービスの可用性・完全性・機密性に関する目標レベルからの要件、顧客へのインシデント通知や顧客データのライフサイクル管理（隔離、暗号化、削除等）、サービスに対する脅威監視からの要件、ライフサイクルのチェックポイントにおける検証フロー要件","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、SDLC全体にわたるセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.2.1.1.4","標準","責任共有モデルに基づき、自社及び関連事業者側の責任範囲と顧客側の責任範囲を定義し、ポリシーに反映するとともに、顧客に開示した資料や情報がある。","S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-",null,null,"○",null,"S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","■ソフトウェアを適用したサービスの責任範囲を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティ責任範囲（自社、関連事業者、顧客間の関係を含む）\n・顧客への責任範囲に関する説明記録","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、リスクベースの運用、保守等に関わるセキュリティ責任範囲を特定した上で、顧客に説明していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.2.1.2.1","最低限/標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。","S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-",null,null,"○",null,"S(4)-3.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","■レビューの記録\n・ソフトウェアを適用したサービスに関して適用するセキュリティ要件を規定したポリシーの見直し履歴","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ要件を規定したポリシーを見直していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.2.1.2.2","標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関して定期的又は継続的にレビューを実施した記録がある。","S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","-",null,null,"○",null,"S(4)-3.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","■レビューの記録\n・ソフトウェアを適用したサービスに関して適用するセキュリティ要件を規定したポリシーの定期的又は継続的な見直し履歴","ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ要件を維持するために、外部環境等の変化に対応して定期的又は継続的に規定したポリシーを改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"]
["S(4)-3.3.1.1.1","標準","品質保証部門やセキュリティ部門など、担当部門から独立した組織がサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることについて監査を実施することを示す資料や情報がある。","S(4)-3.3","運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。","S(4)-3.3.1","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を実施していること。","-",null,null,"○",null,"S(4)-3.3.1.1","評価項目１：サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを監査していること。","■監査実施に関するドキュメント\n・監査を担当する部門の役割（例：担当部門から独立したことを示す組織図、分掌規程）\n・監査体制表\n・監査の手順（例：監査の基準、範囲などの監査計画、情報収集方法、監査で用いるツール類等の実施手順、報告先や報告書等の監査報告手順、監査人の技能及び能力の検証のためのメカニズム）","ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査について、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするサービス運用インフラが運用開始前の段階である場合（この場合は、監査体制の整備途上と考えられる）、整備に向けた計画書や規定など、現状あるべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA"]
["S(4)-3.3.2.1.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査報告書にて指摘事項を記録し、指摘事項に対して根本原因分析を行い、担当部門が是正対応を行っている記録がある。","S(4)-3.3","運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。","S(4)-3.3.2","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を通じて検出された指摘に対応することで、ガバナンスの確立を図っていること。","-",null,null,"○",null,"S(4)-3.3.2.1","評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。","■監査と是正処置の記録\n・監査の指摘事項（例：監査報告書）\n・是正処置が完了したことを示す記録（例：是正処置計画書、完了報告書）","ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認する監査を通じて検出された指摘に対して、根本原因の分析を踏まえた是正対応を行っていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n運用前の段階である場合（この場合は、監査の実施前と考えられる）、当該段階において策定すべき計画や方針など、現状あるべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA"]
["S(4)-3.3.2.2.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。","S(4)-3.3","運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。","S(4)-3.3.2","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を通じて検出された指摘に対応することで、ガバナンスの確立を図っていること。","-",null,null,"○",null,"S(4)-3.3.2.2","評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。","■プロセス改善とガバナンスへの反映の記録\n・監査結果を受けて改定された方針文書や手順書等の改訂履歴","ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認する監査を通じて検出された指摘に対して、組織のプロセス改善やポリシー見直しがなされ、ガバナンスの確立に寄与していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n運用前の段階である場合（この場合は、監査の実施前と考えられる）、当該段階において策定すべき計画や方針など、現状あるべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA"]
["S(4)-4.1.1.1.1","最低限/標準","ソフトウェアのリリースと運用継続の可否を判断するための最低限のソフトウェアのセキュリティ確認基準を定めた資料や情報がある。","S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.1","ソフトウェアセキュリティ確認基準を定義していること。","-","○",null,"○",null,"S(4)-4.1.1.1","評価項目１：ソフトウェアのセキュリティ確認基準を定義していること。","■セキュリティ確認\n基準に関するドキュメント\n・リリースと運用継続の判断基準（例：リリース時の致命的な脆弱性の検出状況）","ドキュメント評価：\nリリースと運用継続の可否を判断するための基準を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.1"]
["S(4)-4.1.1.1.2","標準","組織のセキュリティ目標に基づき、SDLCの各フェーズのセキュリティチェック基準として、複数の定量的・定性的な指標を定義した資料や情報がある。","S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.1","ソフトウェアセキュリティ確認基準を定義していること。","-","○",null,"○",null,"S(4)-4.1.1.1","評価項目１：ソフトウェアのセキュリティ確認基準を定義していること。","■セキュリティ確認基準に関するドキュメント\n・フェーズ毎（要件定義、設計、実装、テスト、リリース、運用等）のセキュリティチェック基準（以下に例を示す）\n　　・設計・実装工程におけるセキュリティ観点レビュー完了率\n　　・テスト時のカバレジ、静的解析の指摘件数\n　　・リリース時の脆弱性の検出状況","ドキュメント評価：\n過去のプロジェクトの脅威、脆弱性情報、及び教訓を参考に、KPI、KRI、開発・運用フェーズの完了等のソフトウェアのセキュリティを確認するための基準を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.1"]
["S(4)-4.1.2.1.1","最低限/標準","最低限のセキュリティ確認基準（S(4)-4.1.1）のリスク管理効果に関する資料や情報がある。","S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.2","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","-","○",null,"○",null,"S(4)-4.1.2.1","評価項目１：セキュリティ確認基準と、そのリスク管理効果との関連性を特定している資料や情報がある。","■セキュリティ確認基準とリスク管理効果を示すドキュメント\n・リリースと運用継続の可否を判断するためのセキュリティ確認基準とリスク管理の期待効果の対応（どのセキュリティリスクを低減させることを意図しているか）","ドキュメント評価：\nソフトウェアのリリースと運用継続の可否を判断するためのセキュリティ確認基準がセキュリティリスク管理活動の効果を示すことができるように設計することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.1"]
["S(4)-4.1.2.1.2","標準","セキュリティ確認基準とセキュリティリスクの管理効果に関する資料や情報がある。","S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.2","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","-","○",null,"○",null,"S(4)-4.1.2.1","評価項目１：セキュリティ確認基準と、そのリスク管理効果との関連性を特定している資料や情報がある。","■セキュリティ確認基準とリスク管理効果とのトレーサビリティを示すドキュメント\n・SDLC全体にわたるセキュリティ確認基準とリスク管理の期待効果の対応（どのセキュリティリスク低減させることを意図しているか、そのトレーサビリティ）","ドキュメント評価：\nSDLC全体にわたってソフトウェアのセキュリティ確認基準がセキュリティリスク管理活動の効果を示すことができるように設計されていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.1"]
["S(4)-4.1.2.2.1","最低限/標準","開発・運用のライフサイクルプロセスにおいて、最低限のセキュリティ確認基準（S(4)-4.1.1）の測定結果がある。","S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.2","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","-","○",null,"○",null,"S(4)-4.1.2.2","評価項目２：SDLC全体にわたって、セキュリティ確認基準を活用していること。","■確認基準の記録\n・リリースと運用継続の可否を判断するためのセキュリティ確認基準の測定結果（例：リリース時の致命的な脆弱性の検出状況）","ドキュメント評価：\nリリースと運用継続の可否を判断するためのソフトウェアのセキュリティ確認基準を測定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.1"]
["S(4)-4.1.2.2.2","標準","SDLCの各フェーズにおいて、測定したセキュリティ確認基準を判断材料として活用している記録がある。","S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.2","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","-","○",null,"○",null,"S(4)-4.1.2.2","評価項目２：SDLC全体にわたって、セキュリティ確認基準を活用していること。","■確認基準に基づくプロセス運用の記録\n・測定結果に基づくSDLCのセキュリティチェック実施ポイント（計画）とその運用記録（例：設計・実装工程におけるセキュリティ観点レビュー、リリース判断記録）","ドキュメント評価：\nSDLC全体にわたって測定したソフトウェアのセキュリティ確認基準の結果に基づきSDLCを運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.1"]
["S(4)-4.2.1.1.1","最低限/標準","セキュリティ確認基準（S(4)-4.1.1）を測定するためのデータの収集手順に関する資料や情報がある。","S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。","S(4)-4.2.1","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集するプロセス、メカニズム、ツール等を実装していること。","-","○",null,"○",null,"S(4)-4.2.1.1","評価項目１：確認基準を測定するためのデータを収集するプロセス、メカニズムやツールを実装していること。","■セキュリティ確認基準を測定するためのデータ収集の手順に関するドキュメント\n・データ収集手順（例：ビルドツールログ（エラーログなどのチェック）やコード解析ツール等の解析結果等の収集ためのツールから出力されるログ等のデータ及び、その収集方法）","ドキュメント評価：\n定義されたセキュリティ確認基準を測定するためのデータを収集する手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.2"]
["S(4)-4.2.1.1.2","標準","セキュアな開発・運用のプロセスに各種セキュリティツールを統合し、開発・運用アクションに関する測定データを収集する仕組みに関する資料や情報がある。","S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。","S(4)-4.2.1","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集するプロセス、メカニズム、ツール等を実装していること。","-","○",null,"○",null,"S(4)-4.2.1.1","評価項目１：確認基準を測定するためのデータを収集するプロセス、メカニズムやツールを実装していること。","■データ収集の仕組みに関するドキュメント\n・データ収集プロセスを定めた仕組み（例：ビルドツールログ（エラーログなどのチェック）やコード解析ツール等の解析結果等の収集ためのツールから出力されるログ等の情報及び、その収集方法、セキュリティダッシュボード等を活用した自動化システム）","ドキュメント評価：\n定義されたセキュリティ確認基準を測定するためのデータを、効率的かつ継続的に収集する仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.2"]
["S(4)-4.2.2.1.1","最低限/標準","セキュリティ確認基準への準拠チェック用に収集されるデータを保管するリポジトリやツールへのアクセス制限を適用している。","S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。","S(4)-4.2.2","収集情報へのアクセスを承認された担当者に限定し、意図しない情報変更や削除を防止していること。","-","○",null,"○",null,"S(4)-4.2.2.1","評価項目１：収集された測定データに対するアクセス制御を実施していること。","■セキュリティ確認基準を測定するための収集データの保護に関するドキュメント\n・データリポジトリやツールのアクセス制御（例：権限設定の一覧、アクセス制御に関する運用手続き）","ドキュメント評価：\n意思決定の根拠となるセキュリティ確認基準に関わるデータの信頼性を確保するため、収集データへのアクセスを限定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.2"]
["S(4)-4.2.2.1.2","標準","セキュリティ確認基準への準拠チェック用に収集されるデータの変更・削除に関する監査ログを取得し、意図しない変更を検知・追跡している。","S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。","S(4)-4.2.2","収集情報へのアクセスを承認された担当者に限定し、意図しない情報変更や削除を防止していること。","-","○",null,"○",null,"S(4)-4.2.2.1","評価項目１：収集された測定データに対するアクセス制御を実施していること。","■収集データの保護に関するドキュメント\n・収集データの完全性確保の手続（例：監査ログの取得設定）","ドキュメント評価：\nセキュリティ確認基準への準拠チェック用に収集されるデータの信頼性を確保するため、収集データへの意図しない変更や削除を検知していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.2"]
["S(4)-4.3.1.1.1","標準","担当部門から独立した組織がセキュリティ確認基準への適合に関わる監査を実施することを示す資料や情報がある。","S(4)-4.3","セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。","S(4)-4.3.1","セキュリティ確認基準への適合に関わる監査体制とプロセスを整備していること。","-","○",null,"○",null,"S(4)-4.3.1.1","評価項目１：セキュリティ確認基準の遵守状況を監査する体制を整備していること。","■セキュリティ確認基準への適合に関わる監査実施に関するドキュメント\n・監査を担当する部門の役割（例：組織図、分掌規程）\n・監査体制\n・監査の手順（例：監査の基準、範囲などの監査計画、監査で用いられるチェックリストやツール類等の実施手順、監査報告手順）","ドキュメント評価： \nセキュリティ確認基準の遵守を通じたガバナンスの確立の寄与のため、セキュリティ確認基準への適合に関わる監査体制を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.1、Securing the Software Supply Chain for Developers：2.1"]
["S(4)-4.3.2.1.1","標準","セキュリティ確認基準への適合に関わる監査報告書にて指摘事項を記録し、指摘事項に対して、担当部門が是正対応を行っている記録がある。","S(4)-4.3","セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。","S(4)-4.3.2","セキュリティ上の確認基準への適合に関する監査を通じて検出された指摘に対応することで、セキュアなソフトウェアとそのための開発・運用プロセスを定期的又は継続的に改善していること。","-","○",null,"○",null,"S(4)-4.3.2.1","評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。","■監査と是正処置の記録\n・監査報告書\n・是正処置が完了していることを示す記録（例：是正処置計画書、完了報告書）","ドキュメント評価： \nソフトウェアとその開発・運用に関するライフサイクル全体のセキュリティ水準を維持するため、セキュリティ確認基準への適合に関わる監査結果に基づいて、根本原因分析を踏まえた是正対応を行っていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.2"]
["S(4)-4.3.2.2.1","標準","セキュリティ確認基準への適合に関わる監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。","S(4)-4.3","セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。","S(4)-4.3.2","セキュリティ上の確認基準への適合に関する監査を通じて検出された指摘に対応することで、セキュアなソフトウェアとそのための開発・運用プロセスを定期的又は継続的に改善していること。","-","○",null,"○",null,"S(4)-4.3.2.2","評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。","■プロセス改善に関する記録\n・監査結果を受けて改訂された開発・運用に関わる方針文書や手順書等の更新履歴\n・セキュリティチェック基準の見直し実績・履歴","ドキュメント評価： \nソフトウェアとその開発・運用に関するライフサイクル全体のセキュリティ水準を維持するため、セキュリティ確認基準への適合に関わる監査結果に基づいて、開発・運用基準やプロセスを定期的又は継続的に改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。開発プロセスが不適切であるために、セキュリティ確認基準に基づく意思決定が適切に行えていない場合の改善等も想定する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.4.2"]
["S(4)-5.1.1.1.1","最低限/標準","高リスク要因に対処するため、開発・運用プロセスで使用するセキュリティツールのカテゴリを定めた資料や情報がある。","S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.1","ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクを軽減するため、ツールチェーン内のカテゴリを定義し、各カテゴリで使用する必須ツールを指定していること。","-","○",null,null,null,"S(4)-5.1.1.1","評価項目１：リスク評価に基づき、導入すべきツールのカテゴリを定義していること。","■ツールカテゴリの定義に関するドキュメント\n・ソフトウェア開発・運用における高リスク要因のリスト\n・ツールの情報（ツールのカテゴリ（例：IDE、コンパイラ）、基本機能、セキュリティ機能等）","ドキュメント評価：\nセキュアなツール活用を進めるため、高リスク要因の軽減を目的としたツールとツールチェーンのカテゴリ（IDE、コンパイラ等）を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.1"]
["S(4)-5.1.1.1.2","標準","ソフトウェア開発・運用のリスク分析結果に基づき、プロジェクトのリスクレベルや特性に応じて導入すべきツールのカテゴリをライフサイクル全体にわたり定めた資料や情報がある。","S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.1","ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクを軽減するため、ツールチェーン内のカテゴリを定義し、各カテゴリで使用する必須ツールを指定していること。","-","○",null,null,null,"S(4)-5.1.1.1","評価項目１：リスク評価に基づき、導入すべきツールのカテゴリを定義していること。","■ツールカテゴリの定義に関するドキュメント\n・ソフトウェア開発・運用におけるリスク分析・評価の結果\n・ツールの比較検討結果\n・ライフサイクル全体にわたり採用するツールのリスト（ツールのカテゴリ（例：IDE、コンパイラ）、基本機能、セキュリティ機能等）","ドキュメント評価：\nセキュアなツール活用を進めるため、ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクの軽減を目的としたツールとツールチェーンのカテゴリ（IDE、コンパイラ等）をライフサイクル全体にわたり定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.1"]
["S(4)-5.1.2.1.1","最低限/標準","主要な開発・運用フェーズで連携させるツール群の構成を定義した資料や情報がある。","S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.2","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","-","○",null,null,null,"S(4)-5.1.2.1","評価項目１：ツールチェーンの構成と連携方法を定義していること。","■ツールチェーンの構成と連携に関するドキュメント\n・主要な開発・運用プロセスにおけるツールの構成","ドキュメント評価：\nコード管理、ビルド、テスト、デプロイといった主要なソフトウェア開発・運用プロセス及びワークフローにおいて活用するツール群の連携構成を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.1"]
["S(4)-5.1.2.1.2","標準","ツールチェーン全体のアーキテクチャと統合方法に関する資料や情報がある。","S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.2","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","-","○",null,null,null,"S(4)-5.1.2.1","評価項目１：ツールチェーンの構成と連携方法を定義していること。","■ツールチェーンの構成と連携に関するドキュメント\n・ツールチェーンの全体構成\n・ツールチェーンのコンポーネントの統合方法（例： 連携データ、ツール統合時の連携ファイル）","ドキュメント評価：\n特定したソフトウェア開発・運用に関わるリスクを軽減するため、ツール群が連携しワークフローに溶け込むよう、ツール間で受け渡される情報等のツールチェーン全体の構成を指定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.1"]
["S(4)-5.1.2.2.1","標準","ツールチェーンを開発・運用のプロセスとワークフローに統合していること。","S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.2","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","-","○",null,null,null,"S(4)-5.1.2.2","評価項目２：ツールチェーンを、開発者・運用者のプロセス及びワークフローに統合していること。","■開発・運用ワークフローへの統合に関するドキュメント\n・ツールチェーンを統合した開発・運用ワークフロー定義（例：ビルドの失敗、スキャン結果等を活用した統合の手続）\n・ツールチェーンから開発者・運用者へのフィードバックの定義（例：ビルドの失敗、スキャン結果等を活用したフィードバック情報）","ドキュメント評価：\n特定したソフトウェア開発・運用に関わるリスクを軽減するため、ツールチェーンのコンポーネントを既存のソフトウェア開発・運用プロセス及びワークフローと統合していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.1"]
["S(4)-5.2.1.1.1","最低限/標準","導入するツールに既知の重大な脆弱性がないことを確認した記録がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.1","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","-","○",null,null,null,"S(4)-5.2.1.1","評価項目１：導入するツールのセキュリティを評価した記録が存在すること。","■ツールのセキュリティ評価に関するドキュメント\n・ツール選定時の脆弱性情報の確認結果","ドキュメント評価：\nツールがソフトウェアの脆弱性要因とならないよう、ツールの重大な脆弱性情報を確認していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2"]
["S(4)-5.2.1.1.2","標準","組織のポリシーに従い、導入するツールについて、提供元の信頼性評価やツールのセキュリティ評価を実施した記録がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.1","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","-","○",null,null,null,"S(4)-5.2.1.1","評価項目１：導入するツールのセキュリティを評価した記録が存在すること。","■ツールのセキュリティ評価に関するドキュメント\n・組織のポリシー及び、セキュリティ慣行に基づくツール選定時のセキュリティ評価（例：脆弱性診断、出所情報）の結果","ドキュメント評価：\nツールがソフトウェアの脆弱性要因とならないよう、組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2"]
["S(4)-5.2.1.2.1","標準","組織のセキュリティポリシーに基づく、ツールとツールチェーンのセキュリティ堅牢化及び、配備に関する資料や情報がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.1","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","-","○",null,null,null,"S(4)-5.2.1.2","評価項目２：ツールとツールチェーンのセキュアな構成とその配備の方法を特定していること。","■ツールとツールチェーンのセキュアな配備に関するドキュメント\n・ツールとツールチェーンの環境構築手順（例：不要機能の無効化、セキュアな通信設定、アクセス制御の構成等のハーデニング）","ドキュメント評価： \nツールがソフトウェアの脆弱性要因とならないよう、組織のポリシー及び、セキュリティ慣行に従って、セキュアにツールとツールチェーンを配備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2"]
["S(4)-5.2.2.1.1","最低限/標準","ツールチェーンの重要な設定項目について、定期的又は継続的なレビュー記録がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","-","○",null,null,null,"S(4)-5.2.2.1","評価項目１：ツールチェーンの構成が、意図せず変更されていないことの監視記録が存在すること。","■ツール構成の確認に関する記録\n・ツールチェーンの重要な構成に関する定期的又は継続的な確認履歴","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの重要な設定を定期的又は継続的に確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"]
["S(4)-5.2.2.1.2","標準","構成管理ツール等を用いて、ツールの設定変更を管理し、特定したセキュアな構成からの逸脱を検知・通知している。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","-","○",null,null,null,"S(4)-5.2.2.1","評価項目１：ツールチェーンの構成が、意図せず変更されていないことの監視記録が存在すること。","■ツール構成の監視に関する記録\n・ツールチェーンの構成変更のレビュー記録\n・ツールチェーンの構成ファイルの変更履歴","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの構成に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）を定期的又は継続的に監視することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"]
["S(4)-5.2.2.2.1","最低限/標準","ツールチェーンにおいて、本番環境への無許可アクセス等の重大なポリシー違反を検知するための記録が存在している。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","-","○",null,null,null,"S(4)-5.2.2.2","評価項目２：ツールチェーンの運用状況を、セキュリティの観点から監視していることを示す記録が存在すること。","■ツール利用の検知に関するドキュメント\n・ツールやツールログのチェック履歴（実行時に発生した重大なセキュリティ関連のエラーログのチェックなど）","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる重大なセキュリティ問題（本番環境への無許可アクセス等）について検知することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"]
["S(4)-5.2.2.2.2","標準","ツールチェーンにおいて、収集したログを分析し、検知すべき異常な振る舞いやポリシー違反を検知するための監視ルールを実装している。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","-","○",null,null,null,"S(4)-5.2.2.2","評価項目２：ツールチェーンの運用状況を、セキュリティの観点から監視していることを示す記録が存在すること。","■ツール利用の監視に関するドキュメント\n\n・ツールとツールチェーンに関わるセキュリティ監視ルールの定義（例：ログ管理システム（SIEM等）の設定情報）","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）について定期的又は継続的に監視することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツール自体のセキュリティ問題だけではなく、セキュアなソフトウェア開発・運用に関わる、ポリシー違反や異常な動作を含むセキュリティ上の潜在的な問題を発見するために、ツール利用時の証跡を定期的又は継続的に監視する。問題の例としては、特権アカウントの不正利用、ビルドプロセスへの不審なコード挿入の試み、保護されたブランチへの強制プッシュ、セキュリティチェックの意図的なスキップ等である。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"]
["S(4)-5.2.2.3.1","最低限/標準","ツールチェーンにおいて、重大なポリシー違反を検知した際に、担当者が対応する手順に関する資料や情報がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","-","○",null,null,null,"S(4)-5.2.2.3","評価項目３：検知された問題への対応を実施していること。","■対応プロセスに関するドキュメント\n・検知された重大なポリシー違反への対応の手続（例：調査、是正措置、再発防止策の検討）","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる重大なセキュリティ問題に対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"]
["S(4)-5.2.2.3.2","標準","ツールチェーンにおいて、検知したイベントへの一連の対応プロセスと、過去の対応記録に関する資料や情報がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","-","○",null,null,null,"S(4)-5.2.2.3","評価項目３：検知された問題への対応を実施していること。","■対応プロセスに関するドキュメント\n・検知された問題への対応の手続（例：イベントの深刻度評価、調査、是正措置、再発防止策の検討）\n・是正措置の記録","ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）に対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nまた、ツール自体のセキュリティ問題だけではなく、セキュアなソフトウェア開発・運用に関わる、ポリシー違反や異常な動作を含むセキュリティ上の潜在的な問題にも対処していることを評価する。問題の例としては、特権アカウントの不正利用、ビルドプロセスへの不審なコード挿入の試み、保護されたブランチへの強制プッシュ、セキュリティチェックの意図的なスキップ等である。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"]
["S(4)-5.2.3.1.1","最低限/標準","利用しているツールに既知の重大な脆弱性がないことを定期的又は継続的に確認した記録がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.3","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","-","○",null,null,null,"S(4)-5.2.3.1","評価項目１：ツールの脆弱性情報を定期的又は継続的に評価していること。","■ツールの脆弱性管理に関するドキュメント\n\n・ツールの定期的又は継続的な確認記録（例：脆弱性情報）","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、ツールの脆弱性を定期的又は継続的に確認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2"]
["S(4)-5.2.3.1.2","標準","組織のポリシーに従い、利用しているツールのセキュリティの評価を定期的又は継続的に実施する手順がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.3","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","-","○",null,null,null,"S(4)-5.2.3.1","評価項目１：ツールの脆弱性情報を定期的又は継続的に評価していること。","■ツールの脆弱性管理に関するドキュメント\n・ツールのセキュリティ評価手順","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を定期的又は継続的にレビューする手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2"]
["S(4)-5.2.3.2.1","最低限/標準","ツールに重大な脆弱性が発見された場合、パッチ適用やバージョンアップを実施した記録がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.3","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","-","○",null,null,null,"S(4)-5.2.3.2","評価項目２：ツールを必要に応じてアップデートしていること。","■ツールのアップデートに関するドキュメント\n・重大な脆弱性に対処するためのツールの更新履歴","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、ツールの重大な脆弱性に対応するため、ツールを更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、ツールに脆弱性が確認できない場合が考えられる）、重大な脆弱性に対するツールのバージョンアップの方針など、現状あるべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2"]
["S(4)-5.2.3.2.2","標準","自組織の開発プロセスの見直し、もしくは新しいツール機能にあわせてツールを評価し、必要に応じてツールを更新、アップグレード、または交換する手順がある。","S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.3","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","-","○",null,null,null,"S(4)-5.2.3.2","評価項目２：ツールを必要に応じてアップデートしていること。","■ツールのアップデートに関するドキュメント\n・ツールの更新に関する手続き（例：アップデート、変更管理、適用後のテスト）\n・ツールの評価記録\n・ツールの更新履歴","ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、組織のポリシーに従い、ツールの出所、や新機能等を定期的又は継続的にレビューし、ツールを維持・更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.2"]
["S(4)-5.3.1.1.1","最低限/標準","ソースコードリポジトリにおいて、誰が、いつ、どのコードを変更したかに関する記録がある。","S(4)-5.3","ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。","S(4)-5.3.1","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","-","○",null,null,null,"S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","■監査証跡の生成に関するドキュメント\n\n・ツールの実行ログ（例：実行者、日時、結果等により追跡可能なログ）","ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、ソースコードに関する監査証跡を生成することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.3"]
["S(4)-5.3.1.1.2","標準","一連の開発・運用アクションが追跡可能な形で記録されるようにツールチェーンを構成していることを示す記録がある。","S(4)-5.3","ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。","S(4)-5.3.1","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","-","○",null,null,null,"S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","■監査証跡の生成に関するドキュメント\n・ツールの設定（例：設定内容、項目）\n・ツールのアウトプット情報（例：生成ファイルとその情報、監査ログ設定と内容）","ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、コード生成、レビュー、ビルド、テスト、デプロイといった一連の開発・運用アクションに関する監査証跡を生成するように、ツール（ワークフロー追跡等）を構成することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.3"]
["S(4)-5.3.1.1.3","標準","開発・運用アクションに関する監査証跡のアクセス制御に関わる資料や情報がある。","S(4)-5.3","ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。","S(4)-5.3.1","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","-","○",null,null,null,"S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","■監査証跡の生成に関するドキュメント\n・ツールのアウトプットのアクセス制御（例：アクセスリスト、監査証跡の保護設定）","ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発アクションに関する監査証跡を保護することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.3.3"]
["S(4)-6.1.1.1.1","最低限/標準","ソフトウェア開発の各環境の基本的な構成や管理状況に関する資料や情報がある。","S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","-","○",null,"○",null,"S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","■ソフトウェアの環境の分離を定めたドキュメント\n・各環境の基本的な構成や管理状況（例：ネットワーク構成、ファイアウォール、アクセス制御方法、環境間の差分情報、ログ情報）","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を管理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.1"]
["S(4)-6.1.1.1.2","標準","目的やリスクレベルに応じて各環境間の分離と保護の方式が定義され、分離と保護を実施していることを示す資料や情報がある。","S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","-","○",null,"○",null,"S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","■ソフトウェアの環境の分離を定めたドキュメント\n・各環境間の分離と保護のコントロール（例：認証方式、アクセス管理表、監視ルール）","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を、目的やリスクレベルに応じた各環境間の分離と保護の方式を通じて、分離・保護していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.1"]
["S(4)-6.1.1.1.3","標準","ソフトウェア開発の各フェーズで使用される環境ごとのデータの保護方針を示す資料や情報がある。","S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","-","○",null,"○",null,"S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","■ソフトウェアの環境の分離を定めたドキュメント\n・データの保護方針（例：本番データの開発環境での利用方針、マスキング方針）","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）上のデータを分離・保護していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.1"]
["S(4)-6.1.1.2.1","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツールの脆弱性を監視し対処する手続きに関する資料や情報がある。","S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","-","○",null,"○",null,"S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","■分離された各開発環境の維持・管理に関するドキュメント\n・環境の保護に関連するツールの脆弱性の管理手続き\n・構成変更の手順","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）を分離・保護するツールの脆弱性を監視し対処していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.1"]
["S(4)-6.1.1.2.2","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツール・対策の構成変更に関する記録がある。","S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","-","○",null,"○",null,"S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","■分離された各開発環境の維持・管理に関するドキュメント\n・環境の見直し履歴（例：環境のアクセス管理表の見直し履歴、構成見直し履歴）","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を分離・保護するツール・対策の構成を適切に見直していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.1"]
["S(4)-6.1.1.2.3","標準","ソフトウェア開発の各フェーズで使用される環境間の分離と保護状態のチェックに関する記録がある。","S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","-","○",null,"○",null,"S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","■分離された各開発環境の維持・管理に関するドキュメント\n・分離と保護の監視記録（例：アラートログ、アクセス違反等のログ保存など）","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）の分離・保護状態を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.1"]
["S(4)-6.1.1.2.4","標準","ソフトウェア開発の各フェーズで使用される環境について、監視を通じてサイバーインシデントを検出し、インシデントから回復する手順に関する資料や情報がある。","S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","-","○",null,"○",null,"S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","■分離された各開発環境の維持・管理に関するドキュメント\n・監視を通じてサイバーインシデントを検出し、インシデントから回復する手順","ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）の分離・保護に関するインシデントを検出し復旧する手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.1"]
["S(4)-6.2.1.1.1","最低限/標準","ソフトウェアの設計者、開発者、テスター、ビルダー向けなどの開発環境及び開発用エンドポイントにおける一般的な脅威を識別し、リスク評価を実施した記録がある。","S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.1","開発環境及び開発用エンドポイントの保護・強化方法を選定するために、リスク分析を実施していること。","-","○",null,null,null,"S(4)-6.2.1.1","評価項目１：開発環境及び開発用エンドポイントに対するリスク分析の結果が存在すること。","■開発環境及び開発用エンドポイントのリスク分析に関するドキュメント\n・リスク分析・評価を実施可能とするための手続き\n・開発用エンドポイント（パソコンやモバイル端末など）を対象とした一般的な脅威を想定したリスク判定結果","ドキュメント評価：\nセキュアなソフトウェアの根幹をなす開発環境における開発用エンドポイント（ソフトウェアの設計者、開発者、テスター、ビルダー向けなど）の保護・強化方法を選定するために、一般的な脅威（例：マルウェア感染、物理的盗難）を対象としたリスク分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2"]
["S(4)-6.2.1.1.2","標準","開発環境及び開発用エンドポイントにおける開発者の行動や利用シナリオを想定した具体的な脅威シナリオに基づき、詳細なリスク分析を実施した記録がある。","S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.1","開発環境及び開発用エンドポイントの保護・強化方法を選定するために、リスク分析を実施していること。","-","○",null,null,null,"S(4)-6.2.1.1","評価項目１：開発環境及び開発用エンドポイントに対するリスク分析の結果が存在すること。","■開発環境及び開発用エンドポイントのリスク分析に関するドキュメント\n・リスク分析・評価を実施可能とするための手続き（例：規程、実施手順）\n・開発用エンドポイント（パソコンやモバイル端末など）を対象とした詳細なリスク判定結果（例：悪意のある開発拡張ツールによるバックドア設置）","ドキュメント評価：\nセキュアなソフトウェアの根幹をなす開発環境における開発用エンドポイント（ソフトウェアの設計者、開発者、テスター、ビルダー向けなど）の保護・強化方法を選定するために、開発者の行動や利用シナリオを想定した詳細なリスク分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2"]
["S(4)-6.2.2.1.1","最低限/標準","開発環境及び開発用エンドポイントに導入すべき基本的なセキュリティ対策の方針や基準を定めた資料や情報がある。","S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","-","○",null,null,null,"S(4)-6.2.2.1","評価項目１：リスク分析に基づき、保護・強化方法を特定していること。","■保護・強化方法に関するドキュメント\n・リスク分析結果に基づく基本的な対策の選定記録、リスク対応計画","ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を実施できるよう、リスク分析に基づき、開発環境及び開発用エンドポイントの基本的なセキュリティ保護策（例：アンチウイルスソフト導入、OS・ソフトウェアの最新化、ファイアウォール有効化）を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2"]
["S(4)-6.2.2.1.2","標準","リスク評価の結果に基づき、開発環境及び開発用エンドポイントからアクセスするリソース、また開発環境及び開発用エンドポイントに導入すべきセキュリティ対策の方針や基準を定めた資料や情報がある。","S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","-","○",null,null,null,"S(4)-6.2.2.1","評価項目１：リスク分析に基づき、保護・強化方法を特定していること。","■保護・強化方法に関するドキュメント\n・リスク分析結果に基づく対策の選定記録、リスク対応計画\n・開発環境及び開発用エンドポイント向けの組織のセキュリティ管理基準（例：端末設定、ネットワーク参加権限、アプリケーションリスト、データの保護策、ウィルス対策、パーソナルファイアウォール、仮想環境、多要素認証、ディスク暗号化、機密データのDLP、サービス管理、アプリケーション実行制御）\n・開発用エンドポイントからアクセスするリソース向けの組織のセキュリティ管理基準（例：開発リソース（サーバなど）へのアクセスコントロール、システムログの監視）","ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を実施できるよう、リスク分析に基づき、開発環境及び開発用エンドポイントと開発環境及び開発用エンドポイントからアクセスするリソースのセキュリティ保護策を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2"]
["S(4)-6.2.2.2.1","最低限/標準","開発環境及びエンドポイントの基本的なセキュリティ対策を実施していることを示す資料や情報がある。","S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","-","○",null,null,null,"S(4)-6.2.2.2","評価項目２：開発環境及び開発用エンドポイントに対するセキュリティ対策を実施していること。","■セキュリティ監視に関するドキュメント\n・セキュリティアラートの検知記録（認証失敗、マルウェア検知等）","ドキュメント評価：\n開発環境及び開発用エンドポイントの基本的なセキュリティ保護策を実施していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2"]
["S(4)-6.2.2.2.2","標準","開発環境およびエンドポイントの堅牢化と監視を定期的又は継続的に運用している記録がある。","S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","-","○",null,null,null,"S(4)-6.2.2.2","評価項目２：開発環境及び開発用エンドポイントに対するセキュリティ対策を実施していること。","■セキュリティ監視に関するドキュメント\n・EDR/SIEM等の監視システムの構成資料、監視ルール\n・セキュリティアラートの検知記録","ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を確実に実施できるよう、セキュリティ対策の方針に基づき開発環境及び開発用エンドポイントを堅牢化すると共に、不審な挙動（例：不審なプロセス実行、外部への意図しない通信、特権アクセスやアクセス試行）の監視・分析を定期的又は継続的に実施していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2"]
["S(4)-6.2.2.3.1","最低限/標準","開発環境及び開発用エンドポイントでのインシデント発生時の報告・対応手順に関する資料や情報がある。","S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","-","○",null,null,null,"S(4)-6.2.2.3","評価項目３：開発環境及び開発用エンドポイントで発生したインシデントへの対応プロセスが整備・運用されていること。","■インシデント対応に関するドキュメント\n・インシデント対応手順","ドキュメント評価：\n開発環境及び開発用エンドポイントでのサイバーインシデント発生時の対応手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2"]
["S(4)-6.2.2.3.2","標準","インシデント発生時に、手順に則って対応（封じ込め、調査、復旧）した記録がある、または対応訓練の実施に関する記録がある。","S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","-","○",null,null,null,"S(4)-6.2.2.3","評価項目３：開発環境及び開発用エンドポイントで発生したインシデントへの対応プロセスが整備・運用されていること。","■インシデント対応に関するドキュメント\n・インシデントの対応履歴\n・開発環境及び開発用エンドポイントの見直し履歴\n・インシデント対応訓練の実施記録","ドキュメント評価：\n手順に従い、開発環境及び開発用エンドポイントでのサイバーインシデントを検出、対応、回復していること、またはその訓練を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-218：PO.5.2"]
["S(5)-1.1.1.1.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針に関する資料や情報がある。","S(5)-1.1","情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。","S(5)-1.1.1","ソフトウェア及びサービスに関連する法的要件、業界標準及び、ベストプラクティスに適合した、情報連携を実施するためのポリシーを整備していること。","-","○","○","○",null,"S(5)-1.1.1.1","評価項目１：ポリシー文書が存在していること。","■情報連携に関する基本方針のドキュメント\n・情報連携の基本方針（目的、責任者、基本的な連携ルール）","ドキュメント評価： \nセキュリティに関わる情報を取得・提供・共有するため、組織として外部との情報連携をどのように位置付け、実施するかを定めた基本方針を整備することについて責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバーセキュリティ経営ガイドライン：指示7、指示10\nENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards\n情報セキュリティ早期警戒パートナーシップガイドライン"]
["S(5)-1.1.1.2.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針の内容が、関連する外部要件に準拠していることを確認した記録がある。","S(5)-1.1","情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。","S(5)-1.1.1","ソフトウェア及びサービスに関連する法的要件、業界標準及び、ベストプラクティスに適合した、情報連携を実施するためのポリシーを整備していること。","-","○","○","○",null,"S(5)-1.1.1.2","評価項目２：情報連携に関するポリシーと外部要件との適合性を確認していること。","■外部要件への適合に関するドキュメント\n・遵守すべき法規制・業界標準等に関するリスト\n・外部要件と社内ポリシー間のギャップ分析結果","ドキュメント評価：\nセキュリティ確保の参照情報として、組織として外部との情報連携の基本方針が、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準（例：情報セキュリティ早期警戒パートナーシップガイドラインの脆弱性発見時の届出）に遵守していることを確認することについて責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバーセキュリティ経営ガイドライン：指示7、指示10\nENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards\n情報セキュリティ早期警戒パートナーシップガイドライン"]
["S(5)-1.1.2.1.1","標準","外部からの脆弱性報告等の情報受付と外部への情報発信に関する役割を定めた資料や情報がある。","S(5)-1.1","情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。","S(5)-1.1.2","組織のポリシーに基づき、役割・プロセスを整備していること。","-","○","○","○",null,"S(5)-1.1.2.1","評価項目１：情報連携を担う役割を定義していること。","■体制に関するドキュメント\n・情報連携に関する役割定義（例：CSIRT と連絡責任者（POC））","ドキュメント評価： \n情報連携のための組織のポリシーが具体化され、情報連携のための役割を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks"]
["S(5)-1.1.2.2.1","標準","外部から情報を受け取った際、または自社から情報を発信する際の基本的な対応手順に関する資料や情報がある。","S(5)-1.1","情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。","S(5)-1.1.2","組織のポリシーに基づき、役割・プロセスを整備していること。","-","○","○","○",null,"S(5)-1.1.2.2","評価項目２：情報連携の具体的なプロセスを定義していること。","■プロセスに関するドキュメント\n・情報連携に関わる手順（例：連絡窓口、脆弱性/インシデント連絡フロー、情報共有の範囲（機密区分）、合意形成（例外受容の証跡）のフロー））\n・連携ツール（例：Webフォーム、専用メールアドレス）","ドキュメント評価：\n情報連携のための組織のポリシーが具体化され、情報共有の資格や情報共有フォーマット、マニュアル等を含む情報連携のための、プロセスを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks"]
["S(5)-1.2.1.1.1","最低限/標準","関係ベンダーに提供しているセキュリティ情報がある。","S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.1","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","-","○","○","○",null,"S(5)-1.2.1.1","評価項目１：関係ベンダーへの情報提供チャネルを実装していること。","■情報提供チャネルのドキュメント\n・過去に提供したセキュリティ情報","ドキュメント評価： \n関係者がリスクに対処することで顧客のセキュリティを向上させるため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダーに提供していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-161：3.2"]
["S(5)-1.2.1.1.2","標準","情報連携を実施するためのポリシーに基づき、関係ベンダー毎に、適切な情報提供チャネルを用意し、情報提供チャネルごとの情報を入手する方法に関する資料や情報があること。","S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.1","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","-","○","○","○",null,"S(5)-1.2.1.1","評価項目１：関係ベンダーへの情報提供チャネルを実装していること。","■情報提供チャネルのドキュメント\n・情報提供チャネル（例：セキュリティアドバイザリのWebページ、通知メールの送信履歴やテンプレート、サポートポータルのコンテンツ）\n・情報提供チャネルごとの関係ベンダーが情報を入手する方法の案内（例：情報共有の資格、情報を有効活用するためのフォーマットやマニュアル）","ドキュメント評価： \n関係者がリスクに対処することで顧客のセキュリティを向上させるため、業界固有の必須かつ重要なセキュリティ関連情報を適切なチャネルに基づき関係ベンダーに提供していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該情報提供の実施前の可能性も考えられる）、情報提供チャネルに関する準備すべきドキュメントを評価する。S(5)-1.1で定めたポリシーに準じた活動を推進していることを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-161：3.2"]
["S(5)-1.2.1.2.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報に関して公開している資料や情報がある。","S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.1","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","-","○","○","○",null,"S(5)-1.2.1.2","評価項目２：必要なセキュリティ関連情報をサプライチェーンに提供していること。","■情報提供の実績のドキュメント\n・過去に公開されたセキュリティアドバイザリの一覧（例：自社製品の脆弱性）","ドキュメント評価：\n関係者がリスクに対処することで顧客のセキュリティを向上させるため、自社製品の脆弱性関連情報を公開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該情報提供の実施前の可能性も考えられる）、情報提供チャネルに関する準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-161：3.2"]
["S(5)-1.2.1.2.2","標準","脆弱性情報に加え、製品のセキュアな利用方法や業界固有の脅威情報等に関して提供先の特性に応じて公開している資料や情報がある。","S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.1","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","-","○","○","○",null,"S(5)-1.2.1.2","評価項目２：必要なセキュリティ関連情報をサプライチェーンに提供していること。","■情報提供の実績のドキュメント\n・過去に公開されたセキュリティアドバイザリの一覧（例：脅威情報や製品のセキュアな利用方法）","ドキュメント評価：\n関係者がリスクに対処することで顧客のセキュリティを向上させるため、製品のセキュアな利用法や業界固有の脅威情報等のセキュリティ関連情報を公開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。S(5)-1.1で定めたポリシーに準じた活動を推進していることを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-161：3.2"]
["S(5)-1.2.2.1.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報を連携対象として定義した資料や情報がある。","S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.2","連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報を明確に定義していること。","-","○","○","○",null,"S(5)-1.2.2.1","評価項目１：連携するセキュリティ関連情報の種類を定義していること。","■情報定義に関するドキュメント\n・連携情報の定義（緊急度の高い脆弱性情報）","ドキュメント評価：\nサプライチェーン先に一貫した情報提供が行えるよう、連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報として緊急度の高い脆弱性情報を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks\nサイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン  "]
["S(5)-1.2.2.1.2","標準","脆弱性情報に加え、脅威情報、インシデント情報、製品のセキュアな設定・運用に関するベストプラクティスなど提供対象とすべき重要情報を定義した資料や情報がある。","S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.2","連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報を明確に定義していること。","-","○","○","○",null,"S(5)-1.2.2.1","評価項目１：連携するセキュリティ関連情報の種類を定義していること。","■情報定義に関するドキュメント\n・連携情報の定義（例：脅威情報（攻撃の観測状況）、インシデント情報（影響範囲等）、製品のセキュアな設定・運用、被害事例）、公開基準","ドキュメント評価：\nサプライチェーン先に一貫した情報提供が行えるよう、連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報（脆弱性情報、脅威情報、インシデント情報、ベストプラクティス等）を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks\nサイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン  "]
["S(5)-1.3.1.1.1","最低限/標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）に参加していること。","S(5)-1.3","脆弱性情報の通知サービスの利用","効率的に脆弱性情報の共有を図るため、脆弱性情報の通知サービスを利用する。","S(5)-1.3.1","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みを活用し、サプライチェーンでの脆弱性情報共有の仕組みを構築していること。","-","○","○","○",null,"S(5)-1.3.1.1","評価項目１：外部の公式な情報連携制度・仕組みに参加していること。","■情報連携制度・仕組みへの参加に関するドキュメント\n・当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みに関する情報（活用を示す手順、届出者登録完了通知（例：JPCERT/CC、IPA（JVN）、NCO等から公開される脆弱性勧告やアラート）","ドキュメント評価：\n当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス）に参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン"]
["S(5)-1.3.1.2.1","標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）から取り込んだ脆弱性情報等をS(5)-1.2の活動に活用した資料や情報がある。","S(5)-1.3","脆弱性情報の通知サービスの利用","効率的に脆弱性情報の共有を図るため、脆弱性情報の通知サービスを利用する。","S(5)-1.3.1","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みを活用し、サプライチェーンでの脆弱性情報共有の仕組みを構築していること。","-","○","○","○",null,"S(5)-1.3.1.2","評価項目２：外部の公式な情報連携制度・仕組みを活用した情報共有（受信・発信）のプロセスを整備していること。","■プロセスに関するドキュメント\n・情報連携プロセス（例：JPCERT/CC、IPA（JVN）への届け出手続き、当該組織から公開される情報の受領とその活用手続き等）","ドキュメント評価：\n当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス）を活用し、脆弱性情報共有の仕組みを構築していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン"]
["S(5)-2.1.1.1.1","最低限/標準","少なくとも一つのセキュリティに関わる業界団体やコミュニティに参加した記録がある。","S(5)-2.1","協力体制の活用","ソフトウェアの製品及びサービスのセキュリティを改善するために、外部の事業者、顧客、及び専門機関が参加するソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(5)-2.1.1","ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析する業界団体やコミュニティへ参加していること。","-","○","○","○",null,"S(5)-2.1.1.1","評価項目１：自社の事業に関連するセキュリティコミュニティに参加している記録が存在すること。","■セキュリティコミュニティへの参加の記録\n・ISAC、業界団体、セキュリティコミュニティ等の参加の証跡（例：会員リストや会員証）","ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析するISAC等の業界団体やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n会社、部門、もしくは関係者が参加していることを確認する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバーセキュリティ経営ガイドライン：指示10"]
["S(5)-2.1.1.1.2","標準","事業領域や技術領域に応じて、セキュリティに関わる複数の適切な業界団体やコミュニティに自組織として参加している記録がある。","S(5)-2.1","協力体制の活用","ソフトウェアの製品及びサービスのセキュリティを改善するために、外部の事業者、顧客、及び専門機関が参加するソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(5)-2.1.1","ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析する業界団体やコミュニティへ参加していること。","-","○","○","○",null,"S(5)-2.1.1.1","評価項目１：自社の事業に関連するセキュリティコミュニティに参加している記録が存在すること。","■セキュリティコミュニティへの参加の記録\n・ISAC、業界団体、セキュリティコミュニティ等の参加の証跡（例：会員リストや会員証）","ドキュメント評価：\n組織として外部の知見を取り入れる体制を持っているかを確認するため、事業領域や技術領域に応じたソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析するISAC等の業界団体やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバーセキュリティ経営ガイドライン：指示10"]
["S(5)-2.1.2.1.1","最低限/標準","業界団体やコミュニティの活動で得たセキュリティに関わる情報を、社内関係者に共有した記録がある。","S(5)-2.2","協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。","S(5)-2.1.2","業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し、ソフトウェア製品及びサービスのセキュリティに関する知識・スキルを向上させる等自組織の取組に活用していること。","-","○","○","○",null,"S(5)-2.1.2.1","評価項目１：コミュニティ活動で得た情報を自社のセキュリティ対策に活用していること。","■活用実績を示すドキュメント\n・会合やトレーニングの参加報告","ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し、ソフトウェア製品及びサービスのセキュリティに関する知識を社内に共有していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n関係者に共有されていることを確認できれば、会社、部門等を代表して参加していなくともよい。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-161：3.2"]
["S(5)-2.1.2.1.2","標準","業界団体やコミュニティから得たセキュリティに関わる情報を基に、自社のセキュリティ対策への影響を評価、もしくは対策を更新した記録がある。","S(5)-2.2","協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。","S(5)-2.2.1","業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","-","○","○","○",null,"S(5)-2.1.2.1","評価項目１：コミュニティ活動で得た情報を自社のセキュリティ対策に活用していること。","■活用実績を示すドキュメント\n・セキュリティ対策に関する外部情報の活用に関する手順書、セキュリティ対策の評価結果（例：インシデント対応手順の更新、監視ルールの更新）","ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し得られた知見に基づき、自社のソフトウェア製品及びサービスのセキュリティに関する影響を評価、もしくは対策を更新等自組織の取組に活用していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","SP800-161：3.2"]
["S(5)-2.2.1.1.1","最低限/標準","自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて業界団体やコミュニティへ公表した記録がある。","S(5)-2.2","協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。","S(5)-2.2.1","業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","-","○","○","○",null,"S(5)-2.2.1.1","評価項目１：コミュニティの運営や活動に積極的に関与していること。","■情報提供の実績を示すドキュメント\n・自社情報の公表の判断結果（例：自社製品の脆弱性）","ドキュメント評価：\n情報の消費者の立場に終始するのではなく、自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて公表していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。\n協力体制への参加により、セキュリティ確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティ改善アクションの効果・効率が高まり、結果としてソフトウェアの品質と組織のレジリエンスが向上することを想定する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"]
["S(5)-2.2.1.1.2","標準","業界団体やコミュニティ活動の推進に関する積極的な関与に関する資料や情報がある。","S(5)-2.2","協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。","S(5)-2.2.1","業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","-","○","○","○",null,"S(5)-2.2.1.2",null,"■コミュニティの運営や活動への貢献実績を示すドキュメント\n・運営や活動の記録（例：ワーキンググループへの参加、レポートの共同執筆、イベントでの登壇、運営委員としての活動、取りまとめ要員の派遣、賛同資金の提供等）\n・自社情報の公表の判断結果（例：自社製品の脆弱性、自社で観測した（ただし個社や個人が特定されないよう匿名化・一般化された）脅威情報、攻撃の予兆、インシデントの教訓など）\n・必要に応じてJPCERT/CC等への脆弱性届出・公表の記録\n・コミュニティのメーリングリストや情報共有インフラへの投稿記録","ドキュメント評価：\n情報の消費者の立場に終始するのではなく、コミュニティへの貢献者としての役割を果たすため、ISAC等の業界団体やコミュニティへ参加し、運営や活動に貢献していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。\n協力体制への参加により、セキュリティ確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティ改善アクションの効果・効率が高まり、結果としてソフトウェアの品質と組織のレジリエンスが向上することを想定する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"]
["S(6)-1.1.1.1.1","最低限/標準","オーナーシップを持つシステム及びソフトウェアのリスク管理の責任について（顧客の）経営層がコミットしていること。","S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.1","顧客がオーナーシップを持つシステム全体及びソフトウェアのリスク管理に対して顧客自身が責任を持ち、独立した主体的な取組を実施していること。","-",null,null,null,"○","S(6)-1.1.1.1","評価項目１：リスク管理の責任について経営層のコミットメントを得ていること。","■システム及びソフトウェアのリスク管理に対する経営層のコミットメントに関するドキュメント\n・システム及びソフトウェアのリスク管理に対する組織としての取組方針（例：社内通達での経営メッセージ、組織としてのセキュリティポリシー）、及びロードマップ（調達（購入）基準へのセキュアバイデザイン・セキュアバイデフォルト慣行の採用方針）\n\n■経営層へのインタビュー\n・ソフトウェアのセキュリティに関するリスク管理の欠如（例：脆弱性の残存などによるビジネス損失）、及び主体的なセキュアバイデザイン・セキュアバイデフォルト慣行によるリスク軽減（例：脆弱性の早期発見などによるビジネス損失の防止）に関する経営層の認識","ドキュメント評価： \nインタビュー評価： \n顧客経営層のリーダーシップにより、自組織がオーナーシップを持つシステム全体及びソフトウェアのリスク管理を顧客自ら主体的に行う取組方針を整備することについて、経営層が責務として認識し実施していることについて、「確認すべきエビデンス」欄に示すドキュメント、及び経営層へのインタビューをエビデンスとして評価する。」","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.1.1.2.1","最低限/標準","システム及びソフトウェアのリスク管理を（顧客が）独立かつ主体的に実施している資料や情報がある。","S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.1","顧客がオーナーシップを持つシステム全体及びソフトウェアのリスク管理に対して顧客自身が責任を持ち、独立した主体的な取組を実施していること。","-",null,null,null,"○","S(6)-1.1.1.2","評価項目２：リスク管理を独立かつ主体的に実施していること。","■システム・ソフトウェアのリスク管理に対する主体的な取組を示すドキュメント\n・経営層（経営トップ、上級マネジメント、承認権限者など）へのリスク識別及びリスク軽減に関する報告（リスク分析結果やリスク管理の取組方針の説明等）\n・経営層での報告や議論の記録（会議録等）","ドキュメント評価： 自組織がオーナーシップを持つシステム全体及びソフトウェアのリスク管理を顧客自ら主体的に行うことについて、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.1.2.1.1","最低限/標準","リスク管理上重要な事業者と、明確な責任分担と契約に基づきリスク管理を実施している資料や情報がある。","S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.2","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","-",null,null,null,"○","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","■事業者との責任分担と契約に関するドキュメント\n・ソフトウェア・システムのセキュアな調達・運用に関するドキュメント（例：基本方針、役割分担、セキュリティ確保・維持のための方針及び手続、予算化手続）\n■契約に基づき事業者と役割分担してシステム及びソフトウェアのリスク管理を実施した記録\n・リスク管理イベント記録（インシデント対応、脆弱性対応等）\n・ソフトウェアの脆弱性の疑いに関する事業者への情報提供の記録\n・リスク対応の一環で権限に基づいてソフトウェアを更新した記録\n・EOL/EOSに基づく計画及び対応（更新又はサービス移行等）の記録","ドキュメント評価： \n顧客経営層のリーダーシップにより、取引先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、契約により取り決めた手続に従ってリスクを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.1.2.1.2","標準","ソフトウェア・システムを調達する場合、顧客と供給者のセキュリティに関する責任を明確にし、透明性の高い事業者を優先的に採用したことを示す資料や情報がある。","S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.2","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","-",null,null,null,"○","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","■事業者との責任分担と契約に関するドキュメント\n・ソフトウェア製品利用において役割分担を明確にするための契約等のドキュメント（例：保守契約、使用許諾契約、リリースノート、サポート窓口、エスカレーションフロー、製品ライフサイクルロードマップ、サポートマトリクス（動作環境等）、EOL/EOS通知期間、構成情報（SBOM等を含む）、更新に関する権限及び手続、脆弱性開示ポリシー、脆弱性対応手続（目標期間（タイムライン）等）、その他セキュアな利用上の注意点）\n■事業者の採用根拠に関する記録\n・ソフトウェア・システム調達の採用根拠等の記録","ドキュメント評価： \n顧客経営層のリーダーシップにより、ソフトウェア・システム調達先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、透明性の高い事業者を優先的に採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.1.2.1.3","標準","システム運用・保守サービスを利用する場合、運用・保守委託先事業者と、インシデント対応・脆弱性対応・役割分担を含む契約を締結したことを示す資料や情報がある。","S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.2","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","-",null,null,null,"○","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","■事業者との責任分担と契約に関するドキュメント\n・システムの運用・保守において役割分担を明確にするための契約等のドキュメント（例：運用・保守契約（責任境界定義、カスタムコードに対する契約不適合責任期間・有償保守等の特約を含む）、基本サービス契約、サービスレベル契約、構成管理台帳（SBOM等を含む）、インシデント対応の役割分担と対応方針、セキュリティ確保（脆弱性対応含む）の役割分担と対応方針）\n■事業者の採用根拠に関する記録\n・システム運用・保守サービスの採用根拠の記録","ドキュメント評価： \n顧客経営層のリーダーシップにより、システム運用・保守サービス先であるサイバーインフラ事業者と、インシデント対応、脆弱性対応を含む運用・保守の責務と役割を明確化し、契約により取り決めた手続に従ってリスクを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.1.2.1.4","標準","クラウドサービスを利用する場合、責任共有モデルに基づいて顧客と供給者のセキュリティに関する責任を明確にし、透明性の高いクラウド事業者を優先的に採用したことを示す資料や情報がある。","S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.2","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","-",null,null,null,"○","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","■事業者との責任分担と契約に関するドキュメント\n・クラウドサービス利用において役割分担を明確にするための契約等のドキュメント（例：基本契約書・利用規約（責任共有モデルを前提とした責任境界定義、データ所有権・利用権、免責事項・賠償上限、準拠法・管轄裁判所、監査条項等）、各種ポリシー（パッチ適用責任等の運用、サポート、プライバシー、ライフサイクル等）、サービスレベル契約、サービス仕様書・説明書、セキュリティレポート（ホワイトペーパー、SOC2レポート、ISMAP登録証等）、インシデント対応の役割分担と対応方針、セキュリティ確保（脆弱性対応含む）の役割分担と対応方針）\n■事業者の採用根拠に関する記録\n・クラウドサービスの採用根拠等の記録","ドキュメント評価： \n顧客経営層のリーダーシップにより、クラウドサービスの取引先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、透明性の高い事業者を優先的に採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.2.1.1.1","最低限/標準","導入ソフトウェアのセキュリティ確保のための要件/基準と検証方法を定め、契約（締結済み又は締結予定の）事業者にエビデンスを要求したことを示す資料や情報がある。","S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","-",null,null,null,"○","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","■要件/基準・検証方法に関するドキュメント\n・ソフトウェア・システムのセキュアな調達・運用に関するドキュメント（ソフトウェアのセキュリティ確保・維持のための要件/基準・検証方法に関する手続等）\n・ソフトウェアのセキュリティ確保のための要件/基準・検証方法に関する記述\n・ソフトウェアのセキュリティ実装に係る証明情報（SBOM、SSDFの実装の適合性を証明する自己適合証明書など）","ドキュメント評価： \nソフトウェア・システムのセキュアな調達・運用のため、ソフトウェアのセキュリティ確保・維持のための要件/基準・検証方法に関する手続等を整備するとともに、契約に基づき事業者にエビデンスを要求することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.2.1.1.2","最低限/標準","導入ソフトウェアの更新ポリシー及びサポート期限に基づく運用計画及び体制に関する資料や情報がある。","S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","-",null,null,null,"○","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","■運用計画及び体制に関するドキュメント\n・ソフトウェアの運用計画及び体制","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、ソフトウェア・システムをセキュアに維持するため、導入ソフトウェアの更新ポリシーおよびサポート期限に関する運用計画と運用体制を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.2.1.1.3","最低限/標準","導入ソフトウェアの既知の脆弱性への対処や緩和策を主体的に実施するための方針及び担当割当に関する資料や情報がある。","S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","-",null,null,null,"○","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","■脆弱性対処のためのリソースに関するドキュメント\n・脆弱性対処を継続的かつ主体的に実施するための計画及び体制","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施するための計画および体制を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.2.1.1.4","標準","主体的取組を促進するための自組織の管理体制、関連事業者とのコミュニケーションパスを整備している資料や情報がある。","S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","-",null,null,null,"○","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","■自組織の管理体制およびコミュニケーションパスに関するドキュメント\n・継続的な協力体制のベースとなる事業者との契約\n・主体的取組を促進するための自組織の体制\n・関連事業者とのコミュニケーションパス","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施するために必要な自組織の体制を整備するとともに、必要な場合は事業者の協力を得るための契約やコミュニケーションパスを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.2.1.2.1","最低限/標準","導入ソフトウェアの脆弱性に対して主体的に対処した記録がある。","S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","-",null,null,null,"○","S(6)-1.2.1.2","評価項目２：既存の脆弱性や緩和策への主体的な取組に関する記録が存在すること。","■脆弱性対処や緩和策を主体的に実施した記録\n・既存の脆弱性や緩和策に関する実施記録（顧客自身が独自に実施したもの）","ドキュメント評価： \n導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.2.1.2.2","標準","導入ソフトウェアの脆弱性に対して契約（締結済み又は締結予定の）事業者と協力して対処した記録がある。","S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","-",null,null,null,"○","S(6)-1.2.1.2","評価項目２：既存の脆弱性や緩和策への主体的な取組に関する記録が存在すること。","■脆弱性対処や緩和策を主体的に実施した記録\n・既存の脆弱性や緩和策に関する実施記録（契約に基づき事業者の協力を得て実施したもの）","ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施、及び必要な場合は契約に基づき事業者の協力を得て既知脆弱性への対処や緩和策を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-1.3.1.1.1","標準","導入ソフトウェアのセキュリティに関する情報を得るためのチャネル参加に関する資料や情報がある。","S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","-",null,null,null,"○","S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","■セキュリティ情報収集の実績を示すドキュメント\n・参加するチャネル（例：Webサイト）等のリスト","ドキュメント評価： \n導入したソフトウェアのセキュリティを維持・改善するため、セキュリティに関する情報を取扱うチャネルに参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"]
["S(6)-1.3.1.1.2","標準","ソフトウェアセキュリティに関するコミュニティや協力体制への参加に関する資料や情報がある。","S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","-",null,null,null,"○","S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","■コミュニティからの情報収集の実績を示すドキュメント\n・参加するコミュニティ・協力体制と登録者のリスト\n・会合やトレーニングの参加報告","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"]
["S(6)-1.3.1.1.3","標準","コミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善した記録がある。","S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","-",null,null,null,"○","S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","■自組織の改善への活用実績を示すドキュメント\n・セキュリティ対策に関する外部情報の活用に関する手順書、セキュリティ対策の評価結果（例：インシデント対応手順の更新、監視ルールの更新）\n・導入ソフトウェアのセキュリティ確保のためのプロセス改善等に活用した記録","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"]
["S(6)-1.3.1.2.1","標準","コミュニティへのリソース提供、及び支援活動への参加に関する資料や情報がある。","S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","-",null,null,null,"○","S(6)-1.3.1.2","評価項目２：コミュニティに対して積極的に貢献していること。","■コミュニティへの貢献を示すドキュメント\n・コミュニティを支援する活動の実施記録\n・コミュニティを介して共有展開する目的で提供した情報","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。コミュニティへの貢献者としての役割を果たすため、協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加し、情報共有や活動支援を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"]
["S(6)-1.3.1.2.2","標準","コミュニティに対して提供したセキュリティ改善への貢献が見込まれる資料や情報がある。","S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","-",null,null,null,"○","S(6)-1.3.1.2","評価項目２：コミュニティに対して積極的に貢献していること。","■コミュニティへの貢献を示すドキュメント\n・コミュニティを介して提供したセキュリティ改善への貢献が見込まれる情報（脅威情報、インシデント情報、セキュアな設定・運用に関するベストプラクティスに関する情報等）","ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。コミュニティへの貢献者としての役割を果たすため、協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"]
["S(6)-2.1.1.1.1","最低限/標準","ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義した資料がある。","S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","-",null,null,null,"○","S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","■セキュリティ要件の定義に関するドキュメント\n・セキュリティ機能に関するセキュリティ要件","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.1.1.1.2","標準","セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義した資料がある。","S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","-",null,null,null,"○","S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","■セキュリティ要件の定義に関するドキュメント\n・リスク緩和のためのセキュリティ要件（リスク緩和のための機能、環境、運用、サプライチェーン等に係るセキュリティ要件）","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.1.1.1.3","標準","当局や信頼できる外部組織が整備したプロファイルに基づいて、ソフトウェアのセキュリティ要件を定義した資料がある。","S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","-",null,null,null,"○","S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","■セキュリティ要件の定義に関するドキュメント\n・外部プロファイル（リスクプロファイル、セキュリティプロファイル、プロテクションプロファイル、その他自組織の業務等が満たすべき標準や法令などを踏まえたプロファイル及び要件セット等）に基づくセキュリティ要件","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、当局や信頼できる外部組織が整備したプロファイルに基づき、ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.1.1.2.1","最低限/標準","RFPとして、定義したセキュリティ要件を提示した資料や情報がある。","S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","-",null,null,null,"○","S(6)-2.1.1.2","評価項目２：セキュリティ要件を調達・導入前に事業者に提示していること。","■調達・導入前に事業者にセキュリティ要件を提示したドキュメント\n・RFPに関する資料（例：調達仕様書・要件定義書等（定義したセキュリティ要件を含む））","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、RFPとして導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、定義したセキュリティ要件を事前に提示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの導入構想段階、又はシステム計画の構想段階の場合（この場合は、RFPの策定前と考えられる）、構想段階で合わせて検討すべきセキュリティに関する方針整理など、事前に準備すべきドキュメントを評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.1.1.2.2","標準","RFIとして、定義したセキュリティ要件を提示した資料や情報がある。","S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","-",null,null,null,"○","S(6)-2.1.1.2","評価項目２：セキュリティ要件を調達・導入前に事業者に提示していること。","■調達・導入前に事業者にセキュリティ要件を提示したドキュメント\n・RFIに関する資料（定義したセキュリティ要件を含む）","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、RFIとして導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、定義したセキュリティ要件を事前に提示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの導入構想段階、又はシステム計画の構想段階の場合（この場合は、RFIの策定前と考えられる）、構想段階で合わせて検討すべきセキュリティに関する方針整理など、事前に準備すべきドキュメントを評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.2.1.1.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルト慣行に力点を置いた調達（購入）基準を整備した資料や情報がある。","S(6)-2.2","セキュリティ慣行の要求開示","ソフトウェアの調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示する。","S(6)-2.2.1","サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示していること。","-",null,null,null,"○","S(6)-2.2.1.1","評価項目１：セキュリティ慣行の要求を整備していること。","■セキュリティ慣行を求めるソフトウェア調達（購入）基準に関するドキュメント\n・ソフトウェアの開発・供給・運用の役割を担当する事業者に求めるセキュアバイデザイン慣行の記述（設計段階からセキュリティを考慮、セキュアな利用・運用が可能、コードベース対象の脆弱性対応や想定内のインシデント対応等に追加コストが発生しない、等）\n・ソフトウェアの開発・供給・運用の役割を担当する事業者に求めるセキュアバイデフォルト慣行の記述（デフォルト状態でセキュリティ機能やセキュリティ設定を提供、セキュアな利用・運用をデフォルトで強制、等）","ドキュメント評価： \nソフトウェア製品の導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、要求するセキュアバイデザイン・セキュアバイデフォルト慣行等に関する調達（購入）基準を事前に整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.2.1.2.1","最低限/標準","ソフトウェア調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示した資料や情報がある。","S(6)-2.2","セキュリティ慣行の要求開示","ソフトウェアの調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示する。","S(6)-2.2.1","サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示していること。","-",null,null,null,"○","S(6)-2.2.1.2","評価項目２：セキュリティ慣行の要求を調達・導入前に開示していること。","■調達・導入前に事業者に求めるセキュリティ慣行を開示したドキュメント\n・RFPに関する資料（調達仕様書・要件定義書等（セキュリティ慣行の要求を含む））\n・その他の方法でセキュリティ慣行の要求を開示したドキュメント","ドキュメント評価：\nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、調達・導入先もしくは委託先候補となるサイバーインフラ事業者に対して、要求するセキュアバイデザイン・セキュアバイデフォルト慣行等を調達・導入前に開示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.3.1.1.1","最低限/標準","ソフトウェアの調達・導入前に、事業者に必要な資料や情報を要求し、業務特性を踏まえたリスクに基づくセキュリティ評価を実施することを定めたポリシーに関する資料や情報がある。","S(6)-2.3","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。","S(6)-2.3.1","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","-",null,null,null,"○","S(6)-2.3.1.1","評価項目１：調達・導入前にリスク評価を行うことを義務付けたポリシーが存在すること。","■ソフトウェアの調達・導入に関するドキュメント\n・ソフトウェア調達・導入ポリシー（業務特性を踏まえた事前のセキュリティ評価、及びリスク評価の義務付け）","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、業務特性を踏まえたリスクに基づいてセキュリティを評価する調達・導入ポリシーを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.3.1.2.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルトの慣行に力点を置いた調達（購入）基準に基づき、ソフトウェアの調達・導入を優先するポリシーに関する資料や情報がある。","S(6)-2.3","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。","S(6)-2.3.1","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","-",null,null,null,"○","S(6)-2.3.1.2","評価項目２：セキュリティ慣行を保証する事業者を優先するポリシーが存在すること。","■ソフトウェアの調達・導入に関するドキュメント\n・ソフトウェア調達・導入ポリシー（セキュリティ慣行を保証する事業者を優先）","ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、セキュアバイデザイン、セキュアバイデフォルトの慣行に則った開発・サポートが保証された製品であること、又は同慣行に従うことを保証するサイバーインフラ事業者であることを優先する調達・導入ポリシーを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.3.1.3.1","最低限/標準","ポリシーに従い、ソフトウェア調達・導入の意思決定に必要なリスク判断を正式に文書化し、経営者が承認した資料や情報がある。","S(6)-2.3","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。","S(6)-2.3.1","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","-",null,null,null,"○","S(6)-2.3.1.3","評価項目３：ポリシーに基づくリスク判断を行い、ソフトウェアの調達・導入を実施していること。","■ソフトウェアの調達・導入に関する記録\n・ソフトウェア調達・導入に係る稟議結果（調達・導入の意思決定の根拠として、ポリシーに準拠すること、リスク評価に基づく判断（セキュリティ慣行等の要求を満たさない場合の採用に関するリスク判断を含む）、及び調達・導入の承認を含む）","ドキュメント評価：\nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、業務特性を踏まえたリスクに基づいてセキュリティを評価する調達・導入ポリシーに基づき、適正なリスク判断を行い、そのリスク判断を経営層が承認したうえで調達・導入することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"]
["S(6)-2.4.1.1.1","最低限/標準","自組織のリスク分析に基づきソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定した資料や情報がある。","S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","-",null,null,null,"○","S(6)-2.4.1.1","評価項目１：サイバーセキュリティに関する残存リスク軽減の方策を検討していること。","■サイバーセキュリティに関する残存リスク対策に関するドキュメント\n・リスク分析結果に基づくリスク緩和策\n・セキュリティリスクに対する例外措置\n・セキュリティリスクに対する例外措置の根拠（リスク軽減、移転、保持の効果判定など）","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバーセキュリティ経営ガイドライン：指示3"]
["S(6)-2.4.1.2.1","最低限/標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算要求に関する記録がある。","S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","-",null,null,null,"○","S(6)-2.4.1.2","評価項目２：リスク軽減策の実施に必要な予算の申請手続が存在すること。","■経営層への予算申請に関するドキュメント\n・経営層向けのリスク軽減策に関する予算申請（例：人件費、教育費、ツール費用等のコストと投資対効果）の記録","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を要求することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバーセキュリティ経営ガイドライン：指示3"]
["S(6)-2.4.1.2.2","標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算の申請手続に関する資料や情報がある。","S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","-",null,null,null,"○","S(6)-2.4.1.2","評価項目２：リスク軽減策の実施に必要な予算の申請手続が存在すること。","■経営層への予算申請に関するドキュメント\n・リスク対応に必要な予算を申請する場合の手続き","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保する手続きを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバーセキュリティ経営ガイドライン：指示3"]
["S(6)-2.4.1.3.1","最低限/標準","セキュリティ活動のための予算が承認されていることを示す記録がある。","S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","-",null,null,null,"○","S(6)-2.4.1.3","評価項目３：予算とリソースが確保されていること。","■予算の実行状況に関するドキュメント\n・セキュリティ関連の予算の承認記録（計画書、稟議書、予算執行実績など）","ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバーセキュリティ経営ガイドライン：指示3"]
["S(6)-2.4.1.3.2","標準","中長期的なセキュリティ対策方針に基づいた予算が経営方針として示された資料や情報がある。","S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","-",null,null,null,"○","S(6)-2.4.1.3","評価項目３：予算とリソースが確保されていること。","■予算の実行状況に関するドキュメント\n・中長期的なセキュリティ対策方針に基づいた予算化に関する経営方針","ドキュメント評価： \n中長期的なセキュリティ対策方針に基づいたソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。","適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。","サイバーセキュリティ経営ガイドライン：指示3"]

{"sheet":"評価シートテンプレート","index":6,"n_rows":23,"n_cols":3,"rows_kept":23,"cut":false,"hidden":true,"merged":[[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[13,1,13,2],[10,1,10,2],[11,1,11,2],[12,1,12,2],[22,1,22,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[3,0,3,2],[2,0,2,2],[1,0,1,2],[0,0,0,2],[6,0,6,2],[4,0,4,2],[5,0,5,2]]}
["評価ID"]
["評価レベル"]
["評価内容"]
["評価方法概説"]
["確認すべきエビデンス"]
["合否判定基準概説"]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）"]
["参考情報","要求ID"]
[null,"個別要求タイトル"]
[null,"個別要求"]
[null,"確認項目ID"]
[null,"確認項目"]
[null,"評価項目ID"]
[null,"評価項目"]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者"]
[null,null,"供給者"]
[null,null,"運用者"]
[null,null,"顧客"]
[null,"参照すべき規程・ガイドとの関係"]

{"sheet":"はじめに","index":7,"n_rows":24,"n_cols":15,"rows_kept":24,"cut":false,"hidden":false,"merged":[[20,10,21,10],[0,14,0,15],[1,0,2,17],[4,1,4,17],[6,1,6,15],[8,1,8,17],[11,1,11,15],[14,1,14,17],[16,1,16,15],[18,1,18,17],[13,1,13,10],[10,1,10,15],[12,1,12,15]]}
["経済産業省または内閣官房の正規ウェブサイトからダウンロードしたものかを確認してください。",null,null,null,null,null,null,null,null,null,null,null,null,null,"2026年3月版"]
["サイバーインフラ事業者に求められる役割等に関するガイドライン\n評価チェックリスト"]
[]
[]
["１.","本評価チェックリストの目的・位置づけ"]
[]
[null,"本チェックリストは、「サイバーインフラ事業者に求められる役割等に関するガイドライン（以降、「本ガイドライン」と言います。）」を踏まえた、サイバーインフラ事業者と顧客に求められる責務と、責務を果たすための要求事項（役割別の具体的な取組の在り方）を評価するためのチェックリストです。本チェックリストを使用して、ソフトウェアサプライチェーンのセキュリティ確保に対する評価基準への準拠状況を評価・記入することができます。\n本チェックリストを使用する際には、本シートの「2.評価チェックリストの使い方」をご一読ください。また、必要に応じて「本ガイドライン」を参照してください。"]
[]
["2.","評価チェックリストの使い方"]
[]
["①","本シートの「4.評価項目のフィルタリング」にて、評価対象ソフトウェアの種別、自組織の役割、評価レベルを選択して、「評価項目のフィルタリング」ボタンを押してください。\n該当する、「評価チェックリスト」と「評価ガイドシート（例：S(1)-1.1.1.1.1）」が選択した役割と評価レベルに基づいて整形されます。\n● 「評価チェックリスト」もしくは「評価ガイドシート」に評価結果を記録して下さい。\n● 「評価ガイドシート」は、評価のための参考情報を提供します。"]
["②","「評価ガイドシート」に記載の「評価方法」、「評価方法概説」、「確認すべきエビデンス」、「合否判定基準概説」を参考に評価を実施し、「評価チェックリスト」の、「適合判定欄」から、「適合」、「改善予定（未適合）」、「N/A（対象外）」のいずれかを選択してください。\n● 「適合」と評価した場合には、「検出事項・適合判定根拠」に、評価に用いた技術文書（エビデンス）の名称、及び「適合」と評価した根拠をそれぞれ記載してください。なお、「検出事項・適合判定根拠」には社内確認用と公開用の記入欄がありますので、用途に応じて記載してください。\n● 「N/A（対象外）」と評価した場合には、「N/A（対象外）」と評価した理由及び脅威に対して適切な対策が講じられていると判断するための根拠を記載してください。\n\n具体的な評価方法についての情報は、「参考資料」シートの「サイバーインフラ事業者に求められる責務の自己評価導入の手引き」を参照してください。"]
["③","自己評価宣言書および別紙については、以下の通り対応してください。 \n● 「自己評価宣言書」シートの青いセルには、必要事項を入力してください。 \n● 別紙の「適合判定」および「検出事項・適合判定根拠（公開用）」には、「評価チェックリスト」と「評価ガイドシート」での判定結果と公開用の記載内容が集約され、自動表示されます。 \n● なお、判定のデフォルト（初期値）は「改善予定（未適合）」となっています。"]
[]
["3.","注意事項"]
[]
[null,"● 本チェックリストによる評価は、評価時点における役割分担と責務の要求事項への適合状況を確認するものです。評価対象そのものが脅威に対して十分なセキュリティを備えることや、将来にわたって脆弱性が存在しないことを保証するものではありません。\n● 本評価における適合とは、サイバーセキュリティ関連法規や各種ガイドラインへの準拠を法的に保証するものでもなく、何らかの認証が得られるものでもありません。各事業者は、遵守すべき法規制等を別途確認してください。\n● 本チェックリストを快適に利用するためには、マクロの動作を許可するため、ファイルのプロパティから、全般タブのセキュリティ　を「許可する」に設定した上で、「コンテンツの有効化」が必要になります。"]
[]
["4.","評価項目のフィルタリング"]
[]
[null,null,null,null,null,null,null,null,null,null,"役割","開発者","供給者","運用者","顧客"]
[null,null,null,null,null,null,null,null,null,null,null,"〇","〇","〇","〇"]
[]
[null,null,null,null,null,null,null,null,null,null,"評価レベル","標準要求"]

{"sheet":"prmSW_Selected","index":8,"n_rows":4,"n_cols":1,"rows_kept":4,"cut":false,"hidden":true,"merged":[]}
["prmSW_Selected"]
["ソフトウェア製品"]
["クラウド"]
["その他"]

{"sheet":"prmRole_Selected","index":9,"n_rows":5,"n_cols":1,"rows_kept":5,"cut":false,"hidden":true,"merged":[]}
["prmRole_Selected"]
["開発者"]
["供給者"]
["運用者"]
["顧客"]

{"sheet":"prmEvalLevel","index":10,"n_rows":2,"n_cols":1,"rows_kept":2,"cut":false,"hidden":true,"merged":[]}
["prmEvalLevel"]
["標準要求"]

{"sheet":"評価チェックリスト","index":11,"n_rows":331,"n_cols":19,"rows_kept":331,"cut":false,"hidden":false,"merged":[[0,10,1,10],[0,11,1,11],[0,12,1,12],[0,0,1,0],[0,1,1,1],[0,2,1,2],[0,3,1,3],[0,4,1,4],[0,5,0,8],[0,9,1,9],[0,18,1,18],[0,13,1,13],[0,14,1,14],[0,15,1,15],[0,16,1,16],[0,17,1,17]]}
["#","評価ID","評価レベル","評価内容","ソフトウェア\n種別","役割",null,null,null,"適合判定\n（適合・改善予定（未適合）・N/A（対象外））","　検出事項・適合判定根拠\n（社内確認用）","　検出事項・適合判定根拠\n（公開用）","改善計画\n（適合判定が「改善予定」である場合）"]
[null,null,null,null,null,"開発者","供給者","運用者","顧客"]
["i","評価ID","評価レベル","評価内容","ソフトウェア種別","開発者","供給者","運用者","顧客","適合判定","判定根拠","改善計画","備考","S1","S2","S3","S4","S5","S6"]
[1,"S(1)-1.1.1.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスク評価に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,{"$f":"LEFT(B4,FIND(\")\",B4))","v":"S(1)"},{"$f":"LEFT(B4,FIND(\".\",B4&\".\")-1)","v":"S(1)-1"},{"$f":"LEFT(B4,FIND(\".\",B4,FIND(\".\",B4)+1)-1)","v":"S(1)-1.1"},{"$f":"LEFT(B4,FIND(\".\",B4,FIND(\".\",B4,FIND(\".\",B4)+1)+1)-1)","v":"S(1)-1.1.1"},{"$f":"LEFT(\n  B4,\n  FIND(\".\",\n       B4,\n       FIND(\".\",\n            B4,\n            FIND(\".\",\n                 B4,\n                 FIND(\".\",B4)+1\n            )+1\n       )+1\n  )-1\n)","v":"S(1)-1.1.1.1"},{"$f":"B4","v":"S(1)-1.1.1.1.1"}]
[2,"S(1)-1.1.1.1.2","標準","ソフトウェアの高リスク領域に関する詳細なリスク評価を実施した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)",{"$f":"LEFT(B5,FIND(\".\",B5&\".\")-1)","v":"S(1)-1"},{"$f":"LEFT(B5,FIND(\".\",B5,FIND(\".\",B5)+1)-1)","v":"S(1)-1.1"},{"$f":"LEFT(B5,FIND(\".\",B5,FIND(\".\",B5,FIND(\".\",B5)+1)+1)-1)","v":"S(1)-1.1.1"},{"$f":"LEFT(\n  B5,\n  FIND(\".\",\n       B5,\n       FIND(\".\",\n            B5,\n            FIND(\".\",\n                 B5,\n                 FIND(\".\",B5)+1\n            )+1\n       )+1\n  )-1\n)","v":"S(1)-1.1.1.1"},{"$f":"B5","v":"S(1)-1.1.1.1.2"}]
[3,"S(1)-1.1.1.2.1","最低限/標準","リスクモデル（脅威モデル、攻撃モデル）に基づく分析手法を適用している。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.2","S(1)-1.1.1.2.1"]
[4,"S(1)-1.1.1.2.2","標準","リスク分析の専門家と共同で作成したリスクモデルを適用している。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.1","S(1)-1.1.1","S(1)-1.1.1.2","S(1)-1.1.1.2.2"]
[5,"S(1)-1.1.2.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのセキュリティリスク分析・評価に基づいた、リスクの緩和策や例外措置に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.1","S(1)-1.1.2.1.1"]
[6,"S(1)-1.1.2.1.2","標準","セキュリティリスクの緩和策の達成手段に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)",{"$f":"LEFT(B9,FIND(\".\",B9&\".\")-1)","v":"S(1)-1"},{"$f":"LEFT(B9,FIND(\".\",B9,FIND(\".\",B9)+1)-1)","v":"S(1)-1.1"},{"$f":"LEFT(B9,FIND(\".\",B9,FIND(\".\",B9,FIND(\".\",B9)+1)+1)-1)","v":"S(1)-1.1.2"},{"$f":"LEFT(\n  B9,\n  FIND(\".\",\n       B9,\n       FIND(\".\",\n            B9,\n            FIND(\".\",\n                 B9,\n                 FIND(\".\",B9)+1\n            )+1\n       )+1\n  )-1\n)","v":"S(1)-1.1.2.1"},{"$f":"B9","v":"S(1)-1.1.2.1.2"}]
[7,"S(1)-1.1.2.1.3","標準","セキュリティリスクに対する例外措置が存在する場合、その例外措置を承認する際の根拠となる資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.1","S(1)-1.1.2.1.3"]
[8,"S(1)-1.1.2.2.1","最低限/標準","セキュリティリスクの緩和策の達成手段を実現するためのソフトウェアのセキュリティ要件を定義した資料がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.1","S(1)-1.1.2","S(1)-1.1.2.2","S(1)-1.1.2.2.1"]
[9,"S(1)-1.2.1.1.1","最低限/標準","設計がセキュリティ要件を満たすことが確認できるレビューの観点及び方法を適用している。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.2","S(1)-1.2.1","S(1)-1.2.1.1","S(1)-1.2.1.1.1"]
[10,"S(1)-1.2.1.1.2","最低限/標準","設計がセキュリティリスクの緩和に効果があることが確認できるレビューの観点及び方法を適用している。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.2","S(1)-1.2.1","S(1)-1.2.1.1","S(1)-1.2.1.1.2"]
[11,"S(1)-1.2.1.2.1","最低限/標準","特定した設計レビューの観点及び方法に基づいて設計レビューを実施した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.2","S(1)-1.2.1","S(1)-1.2.1.2","S(1)-1.2.1.2.1"]
[12,"S(1)-1.2.2.1.1","最低限/標準","ソフトウェア設計における設計レビューの指摘事項等の結果を反映するために、設計の修正を実施した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.2","S(1)-1.2.2","S(1)-1.2.2.1","S(1)-1.2.2.1.1"]
[13,"S(1)-1.2.2.2.1","最低限/標準","設計レビュー結果を反映するために、設計修正以外にリスク対応戦略を変更する必要が生じた場合、そのリスク対応戦略の変更を実施した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.2","S(1)-1.2.2","S(1)-1.2.2.2","S(1)-1.2.2.2.1"]
[14,"S(1)-1.3.1.1.1","標準","定義されたソフトウェアのセキュリティ要件に基づくソフトウェアのリスク対応活動において証拠として利用可能な、設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びとそれらの根拠に関する記録がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.3","S(1)-1.3.1","S(1)-1.3.1.1","S(1)-1.3.1.1.1"]
[15,"S(1)-1.3.1.2.1","標準","ソフトウェアのリスク対応活動に関する記録を、ソフトウェアライフサイクル全体で維持管理し、監査や保守の活動で活用可能とするための手続きや仕組みに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.3","S(1)-1.3.1","S(1)-1.3.1.2","S(1)-1.3.1.2.1"]
[16,"S(1)-1.4.1.1.1","標準","リスクモデルの妥当性、及びリスク分析・評価結果に基づくセキュリティリスクの緩和策、及び例外処置の妥当性に関する定期的なレビューの手続き、及び結果に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.4","S(1)-1.4.1","S(1)-1.4.1.1","S(1)-1.4.1.1.1"]
[17,"S(1)-1.4.1.2.1","標準","ソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.4","S(1)-1.4.1","S(1)-1.4.1.2","S(1)-1.4.1.2.1"]
[18,"S(1)-1.4.1.2.2","標準","必要な場合、セキュリティ要件に対するソフトウェアの設計への反映を実施した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.4","S(1)-1.4.1","S(1)-1.4.1.2","S(1)-1.4.1.2.2"]
[19,"S(1)-1.4.2.1.1","標準","セキュリティ要件に対する例外処置がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.4","S(1)-1.4.2","S(1)-1.4.2.1","S(1)-1.4.2.1.1"]
[20,"S(1)-1.4.2.1.2","標準","必要な場合、セキュリティ要件に対する例外処置によるセキュリティリスクへの対処方法の変更を承認し、変更を実施した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-1","S(1)-1.4","S(1)-1.4.2","S(1)-1.4.2.1","S(1)-1.4.2.1.2"]
[21,"S(1)-2.1.1.1.1","最低限/標準","適用する開発言語・開発環境に、ビルド時に組み込まれるおそれのある脆弱性が含まれないことをチェックする手続きに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.1","S(1)-2.1.1.1.1"]
[22,"S(1)-2.1.1.2.1","標準","開発言語・開発環境の選定・更新の手続き、選定基準、更新基準に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.2","S(1)-2.1.1.2.1"]
[23,"S(1)-2.1.1.3.1","最低限/標準","適用する開発言語・開発環境において、実装に影響を与えるオプション設定を含む使用法に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.3","S(1)-2.1.1.3.1"]
[24,"S(1)-2.1.1.3.2","最低限/標準","適用する開発言語・開発環境を使用することにより、識別した脆弱性がビルド時に組み込まれることを回避できる手続きに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.3","S(1)-2.1.1.3.2"]
[25,"S(1)-2.1.1.3.3","標準","ビルドツールを導入・更新するための変更管理手続き、ツールの真正性と整合性を継続的又は定期的に検証する手続き、及びこれらの実施体制に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.1","S(1)-2.1.1","S(1)-2.1.1.3","S(1)-2.1.1.3.3"]
[26,"S(1)-2.1.2.1.1","最低限/標準","適用する開発言語と開発環境に適したセキュアコーディングの指針、及びツールを定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.1","S(1)-2.1.2","S(1)-2.1.2.1","S(1)-2.1.2.1.1"]
[27,"S(1)-2.1.2.1.2","標準","定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境が適用されている。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.1","S(1)-2.1.2","S(1)-2.1.2.1","S(1)-2.1.2.1.2"]
[28,"S(1)-2.1.3.1.1","最低限/標準","ソフトウェアのデフォルト状態を安全な状態とするためのデフォルトセキュアとする指針を定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.1","S(1)-2.1.3","S(1)-2.1.3.1","S(1)-2.1.3.1.1"]
[29,"S(1)-2.1.3.1.2","標準","ソフトウェアのデフォルト構成を使用可能な形式で保存し、変更を管理するための指針を定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.1","S(1)-2.1.3","S(1)-2.1.3.1","S(1)-2.1.3.1.2"]
[30,"S(1)-2.2.1.1.1","最低限/標準","実行可能形式のセキュリティを向上させる機能を提供するビルドツールを識別・選定した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.2","S(1)-2.2.1","S(1)-2.2.1.1","S(1)-2.2.1.1.1"]
[31,"S(1)-2.2.1.1.2","標準","選定したビルドツールが、識別した脆弱性を軽減することを示す根拠となる資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.2","S(1)-2.2.1","S(1)-2.2.1.1","S(1)-2.2.1.1.2"]
[32,"S(1)-2.2.2.1.1","最低限/標準","ビルドツールの使用機能と設定オプションを決定し、承認された構成でビルドした結果の資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.2","S(1)-2.2.2","S(1)-2.2.2.1","S(1)-2.2.2.1.1"]
[33,"S(1)-2.2.2.1.3","標準","ビルドツールの真正性と整合性の継続的又は定期的な検証に関する記録が存在する。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.2","S(1)-2.2.2","S(1)-2.2.2.1","S(1)-2.2.2.1.3"]
[34,"S(1)-2.3.1.1.1","最低限/標準","ソフトウェアの段階に応じて、コードレビュー及び/又は分析方法を選択し、レビューを実施するタイミングと方法を定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.1","S(1)-2.3.1.1.1"]
[35,"S(1)-2.3.1.1.2","最低限/標準","コードレビュー及び/又はコード分析により発見された指摘事項の情報管理に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.1","S(1)-2.3.1.1.2"]
[36,"S(1)-2.3.1.1.3","標準","コードレビュー及び/又はコード分析のどちらを使用すべきかを、組織の定義に従って決定した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.1","S(1)-2.3.1.1.3"]
[37,"S(1)-2.3.1.2.1","最低限/標準","定義されたタイミングと方法に基づき、コードレビュー及び/又はコード分析を実施した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.2","S(1)-2.3.1.2.1"]
[38,"S(1)-2.3.1.2.2","最低限/標準","必要な場合、サードパーティのコードや社内で再利用するコードに対して、コードレビュー及び/又はコード分析を実施した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.2","S(1)-2.3.1.2.2"]
[39,"S(1)-2.3.1.2.3","標準","ツール（静的コード分析ツールなど）を使用して、コードの脆弱性と組織のセキュアコーディング標準への準拠を点検した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.2","S(1)-2.3.1.2.3"]
[40,"S(1)-2.3.1.3.1","最低限/標準","コードレビュー及び/又はコード分析の結果を検証し、問題の根本原因を整理・特定した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.1","S(1)-2.3.1.3","S(1)-2.3.1.3.1"]
[41,"S(1)-2.3.2.2.1","最低限/標準","特定した根本原因を分類し、推奨する改善策と優先度に関する助言とともに、該当するプロセスにフィードバック又は共有した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.2","S(1)-2.3.2.2","S(1)-2.3.2.2.1"]
[42,"S(1)-2.3.2.3.1","最低限/標準","特定した根本原因への対応を踏まえ、プロセスの定義を変更し、プロセスの実装に反映した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.2","S(1)-2.3.2.3","S(1)-2.3.2.3.1"]
[43,"S(1)-2.3.2.1.1","最低限/標準","問題の指摘事項をプロセス（コーディングなど）にフィードバック又は共有した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.3","S(1)-2.3.2","S(1)-2.3.2.1","S(1)-2.3.2.1.1"]
[44,"S(1)-2.4.1.1.1","最低限/標準","組織のセキュアコーディング標準に基づき、コードレビュー及び/又はコード分析の対象とするコードベースを特定している資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.4","S(1)-2.4.1","S(1)-2.4.1.1","S(1)-2.4.1.1.1"]
[45,"S(1)-2.4.1.1.2","最低限/標準","必要な場合、サードパーティのコードや組織内で作成した再利用可能なコードをレビュー及び/又は分析の対象とする資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-2","S(1)-2.4","S(1)-2.4.1","S(1)-2.4.1.1","S(1)-2.4.1.1.2"]
[46,"S(1)-3.1.1.1.1","最低限/標準","脅威モデルに基づくリスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定した、セキュリティテスト計画に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.1","S(1)-3.1.1","S(1)-3.1.1.1","S(1)-3.1.1.1.1"]
[47,"S(1)-3.1.1.1.2","最低限/標準","必要な場合、セキュリティテストのテスト範囲に、実行可能コードを実行する動的テストを含む資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.1","S(1)-3.1.1","S(1)-3.1.1.1","S(1)-3.1.1.1.2"]
[48,"S(1)-3.1.1.1.3","標準","必要な場合、セキュリティテストの対象に、サードパーティの実行可能コードを含む資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.1","S(1)-3.1.1","S(1)-3.1.1.1","S(1)-3.1.1.1.3"]
[49,"S(1)-3.2.1.1.1","最低限/標準","セキュリティテストのテスト方式として、追加の機能テスト、脆弱性テスト、ファジングテスト、侵入テスト、その他のテスト方式のうち必要なすべてを特定した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.2","S(1)-3.2.1","S(1)-3.2.1.1","S(1)-3.2.1.1.1"]
[50,"S(1)-3.3.1.1.1","最低限/標準","セキュリティテスト計画に基づいて設計・作成したセキュリティテストのテスト仕様・テスト環境の資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.3","S(1)-3.3.1","S(1)-3.3.1.1","S(1)-3.3.1.1.1"]
[51,"S(1)-3.3.1.1.2","最低限/標準","セキュリティテスト計画・テスト仕様・テスト環境を使用してセキュリティテストを実施した記録がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.3","S(1)-3.3.1","S(1)-3.3.1.1","S(1)-3.3.1.1.2"]
[52,"S(1)-3.3.1.2.1","最低限/標準","セキュリティテストの結果を文書化し、発見した全ての問題を記述した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.3","S(1)-3.3.1","S(1)-3.3.1.2","S(1)-3.3.1.2.1"]
[53,"S(1)-3.4.1.1.1","最低限/標準","発見した問題、及び検討した対応策の情報管理に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.4","S(1)-3.4.1","S(1)-3.4.1.1","S(1)-3.4.1.1.1"]
[54,"S(1)-3.4.1.1.2","最低限/標準","必要な場合、対応策に対する優先順位付けを実施した資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.4","S(1)-3.4.1","S(1)-3.4.1.1","S(1)-3.4.1.1.2"]
[55,"S(1)-3.4.1.1.3","最低限/標準","対応策を開発に組み込んで対処した内容に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(1)","S(1)-3","S(1)-3.4","S(1)-3.4.1","S(1)-3.4.1.1","S(1)-3.4.1.1.3"]
[56,"S(1)-4.1.1.1.1","最低限/標準","システム・サービスの管理すべき資産の対象範囲の特定に関する資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.1","S(1)-4.1.1.1.1"]
[57,"S(1)-4.1.1.1.2","最低限/標準","システム・サービスの資産の管理手順に関する資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.1","S(1)-4.1.1.1.2"]
[58,"S(1)-4.1.1.2.1","最低限/標準","システム・サービスの資産管理手順に従って整備した資産リストに関する資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.2","S(1)-4.1.1.2.1"]
[59,"S(1)-4.1.1.3.1","最低限/標準","システム・サービスの資産管理手順に従い、資産リストに含まれる構成が、セキュリティ上の弱点や運用上の問題を含まないセキュアなベースラインを維持していることを示す資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.3","S(1)-4.1.1.3.1"]
[60,"S(1)-4.1.1.3.2","標準","資産リストのセキュアな構成を維持するために、構成管理・変更管理と連動することを示す資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.1","S(1)-4.1.1","S(1)-4.1.1.3","S(1)-4.1.1.3.2"]
[61,"S(1)-4.2.1.1.1","標準","想定リスクに対する運用を考慮した本番運用環境のシステム分離に関する資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.2","S(1)-4.2.1","S(1)-4.2.1.1","S(1)-4.2.1.1.1"]
[62,"S(1)-4.2.1.1.2","標準","本番運用環境のシステムは、多層防御を意識した分離構成とする資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.2","S(1)-4.2.1","S(1)-4.2.1.1","S(1)-4.2.1.1.2"]
[63,"S(1)-4.2.2.1.1","標準","本番運用環境のシステム内部のセキュリティの運用状況をモニタリングする環境を整備し、ログを生成、分析することを示す資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.2","S(1)-4.2.2","S(1)-4.2.2.1","S(1)-4.2.2.1.1"]
[64,"S(1)-4.2.2.1.2","標準","本番運用環境のシステムにおいて、操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出し、対応、回復することを示す資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.2","S(1)-4.2.2","S(1)-4.2.2.1","S(1)-4.2.2.1.2"]
[65,"S(1)-4.2.2.1.3","標準","本番運用環境に展開されたすべてのソフトウェアに新たな脆弱性がないか継続的に監視し、発見された脆弱性にリスクベースで対応することを示す資料や情報がある。",null,null,null,"○",null,null,null,null,null,{"$f":"LEFT(B68,FIND(\")\",B68))","v":"S(1)"},"S(1)-4","S(1)-4.2","S(1)-4.2.2","S(1)-4.2.2.1","S(1)-4.2.2.1.3"]
[66,"S(1)-4.3.1.1.1","標準","開発者が、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータを保護するために、セキュリティ要件に対応するセキュリティメカニズムをソフトウェアに実装することを示す資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.3","S(1)-4.3.1","S(1)-4.3.1.1","S(1)-4.3.1.1.1"]
[67,"S(1)-4.3.1.2.1","標準","運用者が、モニタリング環境にセキュリティメカニズムの動作状況を監視するための監視機能を実装することを示す資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.3","S(1)-4.3.1","S(1)-4.3.1.2","S(1)-4.3.1.2.1"]
[68,"S(1)-4.3.1.2.2","標準","モニタリング環境の管理は最小権限の原則を実現する構成としている資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.3","S(1)-4.3.1","S(1)-4.3.1.2","S(1)-4.3.1.2.2"]
[69,"S(1)-4.4.1.1.1","最低限/標準","本番運用環境で動作するソフトウェアに実装した重要なメカニズムの動作状況をモニタリングした記録がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.4","S(1)-4.4.1","S(1)-4.4.1.1","S(1)-4.4.1.1.1"]
[70,"S(1)-4.4.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施した資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)",{"$f":"LEFT(B73,FIND(\".\",B73&\".\")-1)","v":"S(1)-4"},{"$f":"LEFT(B73,FIND(\".\",B73,FIND(\".\",B73)+1)-1)","v":"S(1)-4.4"},{"$f":"LEFT(B73,FIND(\".\",B73,FIND(\".\",B73,FIND(\".\",B73)+1)+1)-1)","v":"S(1)-4.4.2"},{"$f":"LEFT(\n  B73,\n  FIND(\".\",\n       B73,\n       FIND(\".\",\n            B73,\n            FIND(\".\",\n                 B73,\n                 FIND(\".\",B73)+1\n            )+1\n       )+1\n  )-1\n)","v":"S(1)-4.4.2.1"},{"$f":"B73","v":"S(1)-4.4.2.1.1"}]
[71,"S(1)-4.4.2.2.1","最低限/標準","顧客をサポートする運用者としてリスク管理を実施する立場から、運用のリスク管理活動を実施した資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(1)","S(1)-4","S(1)-4.4","S(1)-4.4.2","S(1)-4.4.2.2","S(1)-4.4.2.2.1"]
[72,"S(2)-1.1.1.1.1","最低限/標準","ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.1","S(2)-1.1.1","S(2)-1.1.1.1","S(2)-1.1.1.1.1"]
[73,"S(2)-1.1.1.1.2","最低限/標準","組織が使用することができる標準化された外部サービスに関する組織のセキュリティ要件を定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.1","S(2)-1.1.1","S(2)-1.1.1.1","S(2)-1.1.1.1.2"]
[74,"S(2)-1.1.1.2.1","最低限/標準","安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための組織の要件を定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.1","S(2)-1.1.1","S(2)-1.1.1.2","S(2)-1.1.1.2.1"]
[75,"S(2)-1.1.2.1.1","最低限/標準","外部手配するソフトウェアコンポーネントのセキュアな構成が要件を満たすことを確認した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.1","S(2)-1.1.2.1.1"]
[76,"S(2)-1.1.2.1.2","最低限/標準","利用環境や使用状況に照らして、外部手配するソフトウェアコンポーネントが要件を満たすことをレビュー・評価した結果の資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.1","S(2)-1.1.2.1.2"]
[77,"S(2)-1.1.2.1.3","標準","ソースコードからソフトウェアコンポーネントをビルドし、利用環境や使用状況を踏まえて安全性を検証・評価した結果の資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.1","S(2)-1.1.2.1.3"]
[78,"S(2)-1.1.2.2.1","最低限/標準","評価結果に基づき、安全性の高い外製ソフトウェアコンポーネントを選定・取得した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.1","S(2)-1.1.2","S(2)-1.1.2.2","S(2)-1.1.2.2.1"]
[79,"S(2)-1.2.1.1.1","最低限/標準","外部手配するソフトウェアコンポーネントと同様に、内製するソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.2","S(2)-1.2.1","S(2)-1.2.1.1","S(2)-1.2.1.1.1"]
[80,"S(2)-1.2.1.2.1","最低限/標準","内製するソフトウェアコンポーネントの開発・維持には、S(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.2","S(2)-1.2.1","S(2)-1.2.1.2","S(2)-1.2.1.2.1"]
[81,"S(2)-1.2.2.1.1","最低限/標準","内製ソフトウェアコンポーネントのリストに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.1","S(2)-1.2.2.1.1"]
[82,"S(2)-1.2.2.1.2","標準","内製ソフトウェアコンポーネントを利用するためのリファレンスガイダンスに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.1","S(2)-1.2.2.1.2"]
[83,"S(2)-1.2.2.2.1","最低限/標準","内製ソフトウェアコンポーネントのセキュアな構成に関する情報を維持管理・共有するための手続きや仕組みに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.2","S(2)-1.2.2.2.1"]
[84,"S(2)-1.2.2.2.2","標準","必要な場合、ソフトウェアコンポーネントの構成・設定を手動で行うことによるミスを防止する仕組みに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.2","S(2)-1.2.2","S(2)-1.2.2.2","S(2)-1.2.2.2.2"]
[85,"S(2)-1.3.1.1.1","最低限/標準","組織が承認したソフトウェアコンポーネントを、コンポーネントバージョンの一覧及び、出所情報とともに維持管理する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.1","S(2)-1.3.1.1.1"]
[86,"S(2)-1.3.1.1.2","標準","各ソフトウェアコンポーネントの出所情報をシステム又はツールで管理することを示す資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.1","S(2)-1.3.1.1.2"]
[87,"S(2)-1.3.1.1.3","標準","各ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけた管理とする資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.1","S(2)-1.3.1.1.3"]
[88,"S(2)-1.3.1.2.1","最低限/標準","各ソフトウェアコンポーネントの出所情報に基づき、リスクを評価した結果に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.3","S(2)-1.3.1","S(2)-1.3.1.2","S(2)-1.3.1.2.1"]
[89,"S(2)-1.4.1.1.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の定期的又は継続的な確認を実施した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.4","S(2)-1.4.1","S(2)-1.4.1.1","S(2)-1.4.1.1.1"]
[90,"S(2)-1.4.1.1.2","標準","必要な場合、導入した特定のソフトウェアコンポーネントの既知の公知脆弱性の自動検出をツールチェーンへ組込むことに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.4","S(2)-1.4.1","S(2)-1.4.1.1","S(2)-1.4.1.1.2"]
[91,"S(2)-1.4.1.2.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の確認結果から識別した未修正の脆弱性を除去もしくは低減するために実施した修正・変更を管理する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.4","S(2)-1.4.1","S(2)-1.4.1.2","S(2)-1.4.1.2.1"]
[92,"S(2)-1.4.2.1.1","最低限/標準","各ソフトウェアコンポーネントのEOLの定期的又は継続的な確認結果に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.4","S(2)-1.4.2","S(2)-1.4.2.1","S(2)-1.4.2.1.1"]
[93,"S(2)-1.4.2.2.1","最低限/標準","各ソフトウェアコンポーネントのEOL/EOSがこれを導入した対象ソフトウェアの運用期間内である場合、EOL/EOSに基づく対応計画（移行計画を含む）を策定した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.4","S(2)-1.4.2","S(2)-1.4.2.2","S(2)-1.4.2.2.1"]
[94,"S(2)-1.5.1.1.1","最低限/標準","ソフトウェアコンポーネントの更新プロセスの定義に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.1","S(2)-1.5.1.1.1"]
[95,"S(2)-1.5.1.1.2","最低限/標準","更新プロセスとして、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.1","S(2)-1.5.1.1.2"]
[96,"S(2)-1.5.1.1.3","標準","必要な場合、更新するソフトウェアコンポーネントの整合性又は出所情報を検証、及びソースコードからバイナリをビルドして検証する手順に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.1","S(2)-1.5.1.1.3"]
[97,"S(2)-1.5.1.2.1","最低限/標準","対象ソフトウェアに含まれるソフトウェアコンポーネントの更新時に、定義した更新プロセスを適用した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.5","S(2)-1.5.1","S(2)-1.5.1.2","S(2)-1.5.1.2.1"]
[98,"S(2)-1.5.2.1.1","最低限/標準","ソフトウェアコンポーネントの脆弱性（公知脆弱性を含む）に対し、サプライチェーン上で対応することを決定するための手続きに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.5","S(2)-1.5.2","S(2)-1.5.2.1","S(2)-1.5.2.1.1"]
[99,"S(2)-1.5.2.1.2","最低限/標準","ソフトウェアコンポーネントに対するパッチ適用等の対応に関する情報を、サプライチェーン上で受け渡す手続きに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(2)","S(2)-1","S(2)-1.5","S(2)-1.5.2","S(2)-1.5.2.1","S(2)-1.5.2.1.2"]
[100,"S(2)-2.1.1.1.1","最低限/標準","対象ソフトウェアの全てのコードベースのリポジトリに関する資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-2","S(2)-2.1","S(2)-2.1.1","S(2)-2.1.1.1","S(2)-2.1.1.1.1"]
[101,"S(2)-2.1.1.2.1","最低限/標準","コードの性質に基づき、承認された担当者、ツール、サービスに絞るなど、コードベースへのアクセスを最小限に制限していることを示す資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-2","S(2)-2.1","S(2)-2.1.1","S(2)-2.1.1.2","S(2)-2.1.1.2.1"]
[102,"S(2)-2.2.1.1.1","最低限/標準","リリース毎に保持が必要なファイルとサポートデータを脆弱性分析に活用できるようにアーカイブすることに関する資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-2","S(2)-2.2","S(2)-2.2.1","S(2)-2.2.1.1","S(2)-2.2.1.1.1"]
[103,"S(2)-2.2.1.2.1","最低限/標準","アーカイブしたインスタンスに対して、データ署名などによる完全性の保証や、最小限のアクセス制限などの保護策を講じることを示す資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-2","S(2)-2.2","S(2)-2.2.1","S(2)-2.2.1.2","S(2)-2.2.1.2.1"]
[104,"S(2)-2.3.1.1.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの更新とともに、出所情報を収集・更新することに関する資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-2","S(2)-2.3","S(2)-2.3.1","S(2)-2.3.1.1","S(2)-2.3.1.1.1"]
[105,"S(2)-2.3.1.1.2","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の整合性を保つ仕組みに関する資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-2","S(2)-2.3","S(2)-2.3.1","S(2)-2.3.1.1","S(2)-2.3.1.1.2"]
[106,"S(2)-2.3.1.2.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の記録を維持管理・共有するための手続きや仕組みに関する資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-2","S(2)-2.3","S(2)-2.3.1","S(2)-2.3.1.2","S(2)-2.3.1.2.1"]
[107,"S(2)-3.1.1.1.1","最低限/標準","外部の事業者などからソフトウェアコンポーネントを手配する場合、要求するセキュリティ要件の合意事項を文書化した資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(2)","S(2)-3","S(2)-3.1","S(2)-3.1.1","S(2)-3.1.1.1","S(2)-3.1.1.1.1"]
[108,"S(2)-3.1.2.1.1","最低限/標準","サプライチェーンセキュリティ要件を定義した資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(2)","S(2)-3","S(2)-3.1","S(2)-3.1.2","S(2)-3.1.2.1","S(2)-3.1.2.1.1"]
[109,"S(2)-3.1.2.2.1","最低限/標準","外部からソフトウェアコンポーネント又はサービスを手配し取得する側の事業者としての手配プロセスの定義に関する資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(2)","S(2)-3","S(2)-3.1","S(2)-3.1.2","S(2)-3.1.2.2","S(2)-3.1.2.2.1"]
[110,"S(2)-3.1.2.3.1","最低限/標準","供給者からエビデンスを取得し、サプライチェーンセキュリティ要件への対応状況を確認した記録に関する資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(2)","S(2)-3","S(2)-3.1","S(2)-3.1.2","S(2)-3.1.2.3","S(2)-3.1.2.3.1"]
[111,"S(2)-3.2.1.1.1","標準","提供先の組織が採用するサプライチェーンセキュリティ要件への対応、又はこれに準じることを合意事項とした資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(2)","S(2)-3","S(2)-3.2","S(2)-3.2.1","S(2)-3.2.1.1","S(2)-3.2.1.1.1"]
[112,"S(2)-3.3.1.1.1","標準","外部手配のソフトウェアコンポーネントが提示したセキュリティ要件を満たせない場合のリスク対処プロセスを定義した資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(2)","S(2)-3","S(2)-3.3","S(2)-3.3.1","S(2)-3.3.1.1","S(2)-3.3.1.1.1"]
[113,"S(2)-4.1.1.1.1","最低限/標準","セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む管理者向けガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-4","S(2)-4.1","S(2)-4.1.1","S(2)-4.1.1.1","S(2)-4.1.1.1.1"]
[114,"S(2)-4.1.1.2.1","最低限/標準","ソフトウェアのセキュアな導入・設定（セキュアなデフォルト設定以外も含む）、操作、廃棄を含むガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-4","S(2)-4.1","S(2)-4.1.1","S(2)-4.1.1.2","S(2)-4.1.1.2.1"]
[115,"S(2)-4.1.1.2.2","最低限/標準","ソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、継続的に更新したガイダンスを提供することを定めた資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-4","S(2)-4.1","S(2)-4.1.1","S(2)-4.1.1.2","S(2)-4.1.1.2.2"]
[116,"S(2)-4.1.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関して、製品・サービスの販売終了（EOS）/製品・サービスのライフサイクル終了（保守やサポートの終了、EOL）に関する情報を調達者に継続的に提供又は伝達することを定めた資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-4","S(2)-4.1","S(2)-4.1.2","S(2)-4.1.2.1","S(2)-4.1.2.1.1"]
[117,"S(2)-4.1.2.1.2","標準","ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を、調達者に継続的に提供又は伝達することを定めた資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-4","S(2)-4.1","S(2)-4.1.2","S(2)-4.1.2.1","S(2)-4.1.2.1.2"]
[118,"S(2)-4.2.1.1.1","最低限/標準","ソフトウェアを配付する際、及び継続的に、ソフトウェアの整合性・完全性が確保されていることを検証するための情報を、ソフトウェア本体とは別の手段で、調達者に提供することを定めた資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-4","S(2)-4.2","S(2)-4.2.1","S(2)-4.2.1.1","S(2)-4.2.1.1.1"]
[119,"S(2)-4.2.2.1.1","最低限/標準","ソフトウェアを供給者から顧客へセキュアに配付する配付システムの整備に関する資料や情報がある。",null,"○","○",null,null,null,null,null,null,"S(2)","S(2)-4","S(2)-4.2","S(2)-4.2.2","S(2)-4.2.2.1","S(2)-4.2.2.1.1"]
[120,"S(3)-1.1.1.1.1","最低限/標準","脆弱性の開示と是正の基本方針に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.1","S(3)-1.1.1","S(3)-1.1.1.1","S(3)-1.1.1.1.1"]
[121,"S(3)-1.1.1.1.2","標準","脆弱性の開示と是正の基本方針に加えて、脆弱性対応プロセス改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いの各方針に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.1","S(3)-1.1.1","S(3)-1.1.1.1","S(3)-1.1.1.1.2"]
[122,"S(3)-1.1.2.1.1","最低限/標準","脆弱性対応に関する担当者を任命していることがわかる資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.1","S(3)-1.1.2.1.1"]
[123,"S(3)-1.1.2.1.2","標準","脆弱性対応を専門とする組織体制を設置していることがわかる資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.1","S(3)-1.1.2.1.2"]
[124,"S(3)-1.1.2.2.1","最低限/標準","脆弱性対応に関わる担当者の役割と責務を定義している資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.2","S(3)-1.1.2.2.1"]
[125,"S(3)-1.1.2.3.1","最低限/標準","脆弱性情報を入手してから対処するまでの一連のプロセスに関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.3","S(3)-1.1.2.3.1"]
[126,"S(3)-1.1.2.3.2","標準","脆弱性対応の一連のプロセスにおける具体的な手順を定義している資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.3","S(3)-1.1.2.3.2"]
[127,"S(3)-1.1.2.3.3","標準","脆弱性対応演習や脆弱性対応プロセスの見直しに関する資料がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.1","S(3)-1.1.2","S(3)-1.1.2.3","S(3)-1.1.2.3.3"]
[128,"S(3)-1.2.1.1.1","最低限/標準","脆弱性対応に関する一連のプロセスにおいて、利害関係者とのコミュニケーションに関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.1","S(3)-1.2.1.1.1"]
[129,"S(3)-1.2.1.1.2","標準","脆弱性の深刻度に応じた手順やサービスレベルを含む詳細なコミュニケーション計画に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,{"$f":"LEFT(B132,FIND(\")\",B132))","v":"S(3)"},"S(3)-1","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.1","S(3)-1.2.1.1.2"]
[130,"S(3)-1.2.1.2.1","最低限/標準","外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付けるための連絡先を公開している。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.2","S(3)-1.2.1.2.1"]
[131,"S(3)-1.2.1.2.2","標準","脆弱性情報やセキュリティ勧告を公開する手段を利用者向けに整備している。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.2","S(3)-1.2.1","S(3)-1.2.1.2","S(3)-1.2.1.2.2"]
[132,"S(3)-1.3.1.1.1","最低限/標準","公的もしくは外部サービスとして提供される公知脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関連する脆弱性情報を収集した資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.1","S(3)-1.3.1.1.1"]
[133,"S(3)-1.3.1.1.2","標準","公知情報源に加え、外部の脅威インテリジェンスサービスや所属するISAC等、複数の情報源から情報を収集した資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.1","S(3)-1.3.1.1.2"]
[134,"S(3)-1.3.1.2.1","最低限/標準","ソフトウェアコンポーネントの供給元（サプライヤー）から脆弱性情報を受け取った記録がある。",null,"○",null,"○",null,null,null,null,null,"S(3)",{"$f":"LEFT(B137,FIND(\".\",B137&\".\")-1)","v":"S(3)-1"},{"$f":"LEFT(B137,FIND(\".\",B137,FIND(\".\",B137)+1)-1)","v":"S(3)-1.3"},{"$f":"LEFT(B137,FIND(\".\",B137,FIND(\".\",B137,FIND(\".\",B137)+1)+1)-1)","v":"S(3)-1.3.1"},{"$f":"LEFT(\n  B137,\n  FIND(\".\",\n       B137,\n       FIND(\".\",\n            B137,\n            FIND(\".\",\n                 B137,\n                 FIND(\".\",B137)+1\n            )+1\n       )+1\n  )-1\n)","v":"S(3)-1.3.1.2"},{"$f":"B137","v":"S(3)-1.3.1.2.1"}]
[135,"S(3)-1.3.1.3.1","最低限/標準","脆弱性対応に関するコミュニケーション計画に則り、脆弱性報告窓口として公開したチャネルから脆弱性情報を収集した資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.3","S(3)-1.3.1","S(3)-1.3.1.3","S(3)-1.3.1.3.1"]
[136,"S(3)-1.3.2.1.1","最低限/標準","ソフトウェアを構成するコンポーネント（特にライブラリなどのサードパーティ製コンポーネント）の名称とバージョンを含む一覧に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.3","S(3)-1.3.2","S(3)-1.3.2.1","S(3)-1.3.2.1.1"]
[137,"S(3)-1.3.2.1.2","標準","コンポーネント構成のトレーサビリティに関する情報の生成・更新プロセスを自動化または半自動化する環境を整備している場合、SBOMなどの標準的な形式の構成情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.3","S(3)-1.3.2","S(3)-1.3.2.1","S(3)-1.3.2.1.2"]
[138,"S(3)-1.3.2.2.1","最低限/標準","コンポーネントの構成情報を利用した探索・分析に基づき、潜在的脆弱性の有無を確認した資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.3","S(3)-1.3.2","S(3)-1.3.2.2","S(3)-1.3.2.2.1"]
[139,"S(3)-1.4.1.1.1","最低限/標準","リリース後のソフトウェアのコンポーネント構成情報と、収集した公知脆弱性情報とを突合し、影響を受ける可能性のある脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.4","S(3)-1.4.1","S(3)-1.4.1.1","S(3)-1.4.1.1.1"]
[140,"S(3)-1.4.1.1.2","標準","リリース後のソフトウェアのコンポーネント構成情報と収集した脆弱性情報を活用し、コードとコンポーネントに対するレビュー、分析、テストの複数の手法を用いた、潜在的脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.4","S(3)-1.4.1","S(3)-1.4.1.1","S(3)-1.4.1.1.2"]
[141,"S(3)-1.4.1.1.3","標準","脆弱性を特定・確認するための活動の対象として、ソースコードだけでなく、設定ファイルや実行可能コードも考慮した記録がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-1","S(3)-1.4","S(3)-1.4.1","S(3)-1.4.1.1","S(3)-1.4.1.1.3"]
[142,"S(3)-2.1.1.1.1","最低限/標準","収集し識別した脆弱性について、対象ソフトウェアへの影響を判断するために必要な情報を更に収集していることがわかる基本的な資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.1","S(3)-2.1.1","S(3)-2.1.1.1","S(3)-2.1.1.1.1"]
[143,"S(3)-2.1.2.1.1","最低限/標準","収集し特定された脆弱性情報、及びその影響を判断するために収集した情報を前提として、脆弱性の深刻度及び影響の定性的な評価に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.1","S(3)-2.1.2","S(3)-2.1.2.1","S(3)-2.1.2.1.1"]
[144,"S(3)-2.1.2.1.2","標準","CVSS等の標準的な評価基準を用いた深刻度に関する定量的な評価に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.1","S(3)-2.1.2","S(3)-2.1.2.1","S(3)-2.1.2.1.2"]
[145,"S(3)-2.1.2.1.3","標準","攻撃コードの有無や悪用実績などを考慮して脆弱性がもたらす使用環境における実際のリスクを分析した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.1","S(3)-2.1.2","S(3)-2.1.2.1","S(3)-2.1.2.1.3"]
[146,"S(3)-2.2.1.1.1","最低限/標準","識別した脆弱性に対する対応方針及び優先順位付けに関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.1","S(3)-2.2.1.1.1"]
[147,"S(3)-2.2.1.1.2","標準","脆弱性の深刻度（CVSS等）や事業への影響度等を考慮したリスク評価に基づく、対応方針の策定根拠に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.1","S(3)-2.2.1.1.2"]
[148,"S(3)-2.2.1.2.1","最低限/標準","対応方針が決定された脆弱性について、対応計画に関する資料がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.2","S(3)-2.2.1.2.1"]
[149,"S(3)-2.2.1.2.2","標準","対応の緊急度（例：緊急、高、中、低）に基づく具体的な対応計画に関する資料がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.2","S(3)-2.2.1","S(3)-2.2.1.2","S(3)-2.2.1.2.2"]
[150,"S(3)-2.2.2.1.1","最低限/標準","識別した脆弱性に対して策定した対応計画に従ってリスク対応を実施したことを示す記録がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.2","S(3)-2.2.2","S(3)-2.2.2.1","S(3)-2.2.2.1.1"]
[151,"S(3)-2.2.2.2.1","最低限/標準","脆弱性対応の実装後に、その対応内容を確認するためのテスト又は検証を実施した結果に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.2","S(3)-2.2.2","S(3)-2.2.2.2","S(3)-2.2.2.2.1"]
[152,"S(3)-2.3.1.1.1","最低限/標準","脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告に関する資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.3","S(3)-2.3.1","S(3)-2.3.1.1","S(3)-2.3.1.1.1"]
[153,"S(3)-2.3.1.2.1","最低限/標準","ソフトウェアの供給先へセキュリティ勧告を提供するための手続があり、それに従って提供した記録がある。",null,"○","○","○",null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.3","S(3)-2.3.1","S(3)-2.3.1.2","S(3)-2.3.1.2.1"]
[154,"S(3)-2.3.2.1.1","最低限/標準","脆弱性届出制度から情報提供を受けた際の対応について、情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続きに基づく対応手順に関する資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.3","S(3)-2.3.2","S(3)-2.3.2.1","S(3)-2.3.2.1.1"]
[155,"S(3)-2.3.3.1.1","最低限/標準","開発者や供給者等から発行されたセキュリティ勧告を受領し、影響評価を行った資料や記録がある。",null,null,null,"○",null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.1","S(3)-2.3.3.1.1"]
[156,"S(3)-2.3.3.1.2","標準","代替策の実施やリスク受容等を承認する根拠となる資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.1","S(3)-2.3.3.1.2"]
[157,"S(3)-2.3.3.2.1","最低限/標準","セキュリティ勧告の影響評価の結果に基づく、対策（例：パッチの配備、設定変更）の計画の資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.2","S(3)-2.3.3.2.1"]
[158,"S(3)-2.3.3.2.2","標準","運用者として対策を適用する前に、事前検証を実施した記録がある。",null,null,null,"○",null,null,null,null,null,"S(3)","S(3)-2","S(3)-2.3","S(3)-2.3.3","S(3)-2.3.3.2","S(3)-2.3.3.2.2"]
[159,"S(3)-3.1.1.1.1","標準","発見された脆弱性に対して、根本原因を分析・特定した資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-3","S(3)-3.1","S(3)-3.1.1","S(3)-3.1.1.1","S(3)-3.1.1.1.1"]
[160,"S(3)-3.1.1.1.2","標準","根本原因を長期にわたり分析するための情報収集の手続きに関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-3","S(3)-3.1","S(3)-3.1.1","S(3)-3.1.1.1","S(3)-3.1.1.1.2"]
[161,"S(3)-3.1.1.2.1","標準","過去に検出された脆弱性の根本原因分析の結果に基づき、同種の脆弱性を組織内の他のソフトウェアから探索・特定し、同種の脆弱性を排除するための活動を計画・実施した資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-3","S(3)-3.1","S(3)-3.1.1","S(3)-3.1.1.2","S(3)-3.1.1.2.1"]
[162,"S(3)-3.2.1.1.1","標準","根本原因分析に基づき、プロセスや慣行を見直し、更新したプロセスを定義した資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-3","S(3)-3.2","S(3)-3.2.1","S(3)-3.2.1.1","S(3)-3.2.1.1.1"]
[163,"S(3)-3.2.1.2.1","標準","改訂されたプロセスや慣行を、開発者や運用者等の関係者に周知した記録がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-3","S(3)-3.2","S(3)-3.2.1","S(3)-3.2.1.2","S(3)-3.2.1.2.1"]
[164,"S(3)-3.2.1.2.2","標準","特定した脆弱性の根本原因が再発していないかを継続的に監視している記録がある。",null,"○",null,"○",null,null,null,null,null,"S(3)","S(3)-3","S(3)-3.2","S(3)-3.2.1","S(3)-3.2.1.2","S(3)-3.2.1.2.2"]
[165,"S(4)-1.1.1.1.1","標準","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義した資料がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.1","S(4)-1.1.1","S(4)-1.1.1.1","S(4)-1.1.1.1.1"]
[166,"S(4)-1.1.1.2.1","標準","ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていることを示す資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.1","S(4)-1.1.1","S(4)-1.1.1.2","S(4)-1.1.1.2.1"]
[167,"S(4)-1.2.1.1.1","最低限/標準","セキュアな開発・運用について、経営層に報告、あるいは理解を促進するための活動を実施した資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.2","S(4)-1.2.1","S(4)-1.2.1.1","S(4)-1.2.1.1.1"]
[168,"S(4)-1.2.1.2.1","最低限/標準","セキュアな開発・運用の必要性を可視化しその推進方針等を、経営層が承認した資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.2","S(4)-1.2.1","S(4)-1.2.1.2","S(4)-1.2.1.2.1"]
[169,"S(4)-1.2.2.1.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュアな開発・運用の推進方針を周知した記録がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.2","S(4)-1.2.2","S(4)-1.2.2.1","S(4)-1.2.2.1.1"]
[170,"S(4)-1.2.2.2.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に対する、組織にとってのセキュアな開発・運用の重要性に関する教育の資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.2","S(4)-1.2.2","S(4)-1.2.2.2","S(4)-1.2.2.2.1"]
[171,"S(4)-1.3.1.1.1","標準","セキュアな開発・運用の役割と責務について各要員が理解したことを示す資料や情報が存在すること。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.3","S(4)-1.3.1","S(4)-1.3.1.1","S(4)-1.3.1.1.1"]
[172,"S(4)-1.3.1.2.1","標準","セキュアな開発・運用の役割と責務について各要員が同意することを確認した資料や情報がある。",null,"○","○","○",null,null,null,null,null,{"$f":"LEFT(B175,FIND(\")\",B175))","v":"S(4)"},{"$f":"LEFT(B175,FIND(\".\",B175&\".\")-1)","v":"S(4)-1"},{"$f":"LEFT(B175,FIND(\".\",B175,FIND(\".\",B175)+1)-1)","v":"S(4)-1.3"},{"$f":"LEFT(B175,FIND(\".\",B175,FIND(\".\",B175,FIND(\".\",B175)+1)+1)-1)","v":"S(4)-1.3.1"},{"$f":"LEFT(\n  B175,\n  FIND(\".\",\n       B175,\n       FIND(\".\",\n            B175,\n            FIND(\".\",\n                 B175,\n                 FIND(\".\",B175)+1\n            )+1\n       )+1\n  )-1\n)","v":"S(4)-1.3.1.2"},{"$f":"B175","v":"S(4)-1.3.1.2.1"}]
[173,"S(4)-1.4.1.1.1","標準","セキュアな開発・運用に関する習熟度に応じたトレーニングの目標が定義され、その測定方法、トレーニングカリキュラムに関する資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.4","S(4)-1.4.1","S(4)-1.4.1.1","S(4)-1.4.1.1.1"]
[174,"S(4)-1.4.2.1.1","標準","セキュアな開発・運用に関するトレーニング計画を実現するためのトレーニングを受講できるように提供している資料や情報があること。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.4","S(4)-1.4.2","S(4)-1.4.2.1","S(4)-1.4.2.1.1"]
[175,"S(4)-1.4.2.2.1","標準","セキュアな開発・運用に関するトレーニング計画に基づき、全要員が習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを受講したことに関する記録がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.4","S(4)-1.4.2","S(4)-1.4.2.2","S(4)-1.4.2.2.1"]
[176,"S(4)-1.5.1.1.1","標準","セキュアな開発運用に関わる定期的又は継続的な役割の見直し手続きが定義された資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.5","S(4)-1.5.1","S(4)-1.5.1.1","S(4)-1.5.1.1.1"]
[177,"S(4)-1.5.1.2.1","標準","レビューに基づく、セキュアな開発・運用に関わる新しい役割の設定や既存の役割の変更に関する記録がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.5","S(4)-1.5.1","S(4)-1.5.1.2","S(4)-1.5.1.2.1"]
[178,"S(4)-1.5.2.1.1","標準","トレーニング効果の測定結果の分析に基づき、セキュアな開発・運用に関わるトレーニングプログラムを更新した記録がある。",null,"○","○","○",null,null,null,null,null,"S(4)","S(4)-1","S(4)-1.5","S(4)-1.5.2","S(4)-1.5.2.1","S(4)-1.5.2.1.1"]
[179,"S(4)-2.1.1.1.1","最低限/標準","ソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.1","S(4)-2.1.1","S(4)-2.1.1.1","S(4)-2.1.1.1.1"]
[180,"S(4)-2.1.1.1.2","標準","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.1","S(4)-2.1.1","S(4)-2.1.1.1","S(4)-2.1.1.1.2"]
[181,"S(4)-2.1.2.1.1","最低限/標準","ソフトウェア開発の観点から、事業に関連する主要な法規制をリストした資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.1","S(4)-2.1.2","S(4)-2.1.2.1","S(4)-2.1.2.1.1"]
[182,"S(4)-2.1.2.1.2","標準","ソフトウェア開発の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.1","S(4)-2.1.2","S(4)-2.1.2.1","S(4)-2.1.2.1.2"]
[183,"S(4)-2.2.1.1.1","最低限/標準","開発するソフトウェアに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.1","S(4)-2.2.1.1.1"]
[184,"S(4)-2.2.1.1.2","標準","開発するソフトウェアに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.1","S(4)-2.2.1.1.2"]
[185,"S(4)-2.2.1.2.1","最低限/標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.2","S(4)-2.2.1.2.1"]
[186,"S(4)-2.2.1.2.2","標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーについて定期的又は継続的にレビューを実施した記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.2","S(4)-2.2.1","S(4)-2.2.1.2","S(4)-2.2.1.2.2"]
[187,"S(4)-2.3.1.1.1","最低限/標準","ソフトウェア開発に関わるセキュリティ活動のための予算が承認されていることを示す記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.3","S(4)-2.3.1","S(4)-2.3.1.1","S(4)-2.3.1.1.1"]
[188,"S(4)-2.3.1.1.2","標準","セキュリティ対策の必要性、コスト、影響を踏まえたセキュア開発方針に関する予算が承認されていることを示す記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.3","S(4)-2.3.1","S(4)-2.3.1.1","S(4)-2.3.1.1.2"]
[189,"S(4)-2.3.2.1.1","最低限/標準","経営層やプロジェクト責任者が、脆弱性の放置が将来のコスト増に繋がることをリスクとして認識していることを示す資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.3","S(4)-2.3.2","S(4)-2.3.2.1","S(4)-2.3.2.1.1"]
[190,"S(4)-2.3.2.1.2","標準","脆弱性放置のリスクに関する、全社的なセキュリティ教育や開発者向けトレーニング等の啓発活動の資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-2","S(4)-2.3","S(4)-2.3.2","S(4)-2.3.2.1","S(4)-2.3.2.1.2"]
[191,"S(4)-3.1.1.1.1","最低限/標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.1","S(4)-3.1.1","S(4)-3.1.1.1","S(4)-3.1.1.1.1"]
[192,"S(4)-3.1.1.1.2","標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.1","S(4)-3.1.1","S(4)-3.1.1.1","S(4)-3.1.1.1.2"]
[193,"S(4)-3.1.2.1.1","最低限/標準","ソフトウェア運用の観点から、事業に関連する主要な法規制をリストした資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.1","S(4)-3.1.2","S(4)-3.1.2.1","S(4)-3.1.2.1.1"]
[194,"S(4)-3.1.2.1.2","標準","ソフトウェア運用の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.1","S(4)-3.1.2","S(4)-3.1.2.1","S(4)-3.1.2.1.2"]
[195,"S(4)-3.2.1.1.1","最低限/標準","ソフトウェアを適用したサービスに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1","S(4)-3.2.1.1.1"]
[196,"S(4)-3.2.1.1.2","最低限/標準","サービス運用者としてのセキュリティ責任範囲を定義した資料がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1","S(4)-3.2.1.1.2"]
[197,"S(4)-3.2.1.1.3","標準","ソフトウェア及びこれを適用したサービスに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1","S(4)-3.2.1.1.3"]
[198,"S(4)-3.2.1.1.4","標準","責任共有モデルに基づき、自社及び関連事業者側の責任範囲と顧客側の責任範囲を定義し、ポリシーに反映するとともに、顧客に開示した資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.1","S(4)-3.2.1.1.4"]
[199,"S(4)-3.2.1.2.1","最低限/標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.2","S(4)-3.2.1.2.1"]
[200,"S(4)-3.2.1.2.2","標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関して定期的又は継続的にレビューを実施した記録がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.2","S(4)-3.2.1","S(4)-3.2.1.2","S(4)-3.2.1.2.2"]
[201,"S(4)-3.3.1.1.1","標準","品質保証部門やセキュリティ部門など、担当部門から独立した組織がサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることについて監査を実施することを示す資料や情報がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.3","S(4)-3.3.1","S(4)-3.3.1.1","S(4)-3.3.1.1.1"]
[202,"S(4)-3.3.2.1.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査報告書にて指摘事項を記録し、指摘事項に対して根本原因分析を行い、担当部門が是正対応を行っている記録がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.3","S(4)-3.3.2","S(4)-3.3.2.1","S(4)-3.3.2.1.1"]
[203,"S(4)-3.3.2.2.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。",null,null,null,"○",null,null,null,null,null,"S(4)","S(4)-3","S(4)-3.3","S(4)-3.3.2","S(4)-3.3.2.2","S(4)-3.3.2.2.1"]
[204,"S(4)-4.1.1.1.1","最低限/標準","ソフトウェアのリリースと運用継続の可否を判断するための最低限のソフトウェアのセキュリティ確認基準を定めた資料や情報がある。",null,"○",null,"○",null,null,null,null,null,{"$f":"LEFT(B207,FIND(\")\",B207))","v":"S(4)"},{"$f":"LEFT(B207,FIND(\".\",B207&\".\")-1)","v":"S(4)-4"},{"$f":"LEFT(B207,FIND(\".\",B207,FIND(\".\",B207)+1)-1)","v":"S(4)-4.1"},{"$f":"LEFT(B207,FIND(\".\",B207,FIND(\".\",B207,FIND(\".\",B207)+1)+1)-1)","v":"S(4)-4.1.1"},{"$f":"LEFT(\n  B207,\n  FIND(\".\",\n       B207,\n       FIND(\".\",\n            B207,\n            FIND(\".\",\n                 B207,\n                 FIND(\".\",B207)+1\n            )+1\n       )+1\n  )-1\n)","v":"S(4)-4.1.1.1"},{"$f":"B207","v":"S(4)-4.1.1.1.1"}]
[205,"S(4)-4.1.1.1.2","標準","組織のセキュリティ目標に基づき、SDLCの各フェーズのセキュリティチェック基準として、複数の定量的・定性的な指標を定義した資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.1","S(4)-4.1.1","S(4)-4.1.1.1","S(4)-4.1.1.1.2"]
[206,"S(4)-4.1.2.1.1","最低限/標準","最低限のセキュリティ確認基準（S(4)-4.1.1）のリスク管理効果に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.1","S(4)-4.1.2.1.1"]
[207,"S(4)-4.1.2.1.2","標準","セキュリティ確認基準とセキュリティリスクの管理効果に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.1","S(4)-4.1.2.1.2"]
[208,"S(4)-4.1.2.2.1","最低限/標準","開発・運用のライフサイクルプロセスにおいて、最低限のセキュリティ確認基準（S(4)-4.1.1）の測定結果がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.2","S(4)-4.1.2.2.1"]
[209,"S(4)-4.1.2.2.2","標準","SDLCの各フェーズにおいて、測定したセキュリティ確認基準を判断材料として活用している記録がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.1","S(4)-4.1.2","S(4)-4.1.2.2","S(4)-4.1.2.2.2"]
[210,"S(4)-4.2.1.1.1","最低限/標準","セキュリティ確認基準（S(4)-4.1.1）を測定するためのデータの収集手順に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.2","S(4)-4.2.1","S(4)-4.2.1.1","S(4)-4.2.1.1.1"]
[211,"S(4)-4.2.1.1.2","標準","セキュアな開発・運用のプロセスに各種セキュリティツールを統合し、開発・運用アクションに関する測定データを収集する仕組みに関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.2","S(4)-4.2.1","S(4)-4.2.1.1","S(4)-4.2.1.1.2"]
[212,"S(4)-4.2.2.1.1","最低限/標準","セキュリティ確認基準への準拠チェック用に収集されるデータを保管するリポジトリやツールへのアクセス制限を適用している。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.2","S(4)-4.2.2","S(4)-4.2.2.1","S(4)-4.2.2.1.1"]
[213,"S(4)-4.2.2.1.2","標準","セキュリティ確認基準への準拠チェック用に収集されるデータの変更・削除に関する監査ログを取得し、意図しない変更を検知・追跡している。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.2","S(4)-4.2.2","S(4)-4.2.2.1","S(4)-4.2.2.1.2"]
[214,"S(4)-4.3.1.1.1","標準","担当部門から独立した組織がセキュリティ確認基準への適合に関わる監査を実施することを示す資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.3","S(4)-4.3.1","S(4)-4.3.1.1","S(4)-4.3.1.1.1"]
[215,"S(4)-4.3.2.1.1","標準","セキュリティ確認基準への適合に関わる監査報告書にて指摘事項を記録し、指摘事項に対して、担当部門が是正対応を行っている記録がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.3","S(4)-4.3.2","S(4)-4.3.2.1","S(4)-4.3.2.1.1"]
[216,"S(4)-4.3.2.2.1","標準","セキュリティ確認基準への適合に関わる監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-4","S(4)-4.3","S(4)-4.3.2","S(4)-4.3.2.2","S(4)-4.3.2.2.1"]
[217,"S(4)-5.1.1.1.1","最低限/標準","高リスク要因に対処するため、開発・運用プロセスで使用するセキュリティツールのカテゴリを定めた資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.1","S(4)-5.1.1","S(4)-5.1.1.1","S(4)-5.1.1.1.1"]
[218,"S(4)-5.1.1.1.2","標準","ソフトウェア開発・運用のリスク分析結果に基づき、プロジェクトのリスクレベルや特性に応じて導入すべきツールのカテゴリをライフサイクル全体にわたり定めた資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.1","S(4)-5.1.1","S(4)-5.1.1.1","S(4)-5.1.1.1.2"]
[219,"S(4)-5.1.2.1.1","最低限/標準","主要な開発・運用フェーズで連携させるツール群の構成を定義した資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.1","S(4)-5.1.2","S(4)-5.1.2.1","S(4)-5.1.2.1.1"]
[220,"S(4)-5.1.2.1.2","標準","ツールチェーン全体のアーキテクチャと統合方法に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.1","S(4)-5.1.2","S(4)-5.1.2.1","S(4)-5.1.2.1.2"]
[221,"S(4)-5.1.2.2.1","標準","ツールチェーンを開発・運用のプロセスとワークフローに統合していること。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.1","S(4)-5.1.2","S(4)-5.1.2.2","S(4)-5.1.2.2.1"]
[222,"S(4)-5.2.1.1.1","最低限/標準","導入するツールに既知の重大な脆弱性がないことを確認した記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.1","S(4)-5.2.1.1","S(4)-5.2.1.1.1"]
[223,"S(4)-5.2.1.1.2","標準","組織のポリシーに従い、導入するツールについて、提供元の信頼性評価やツールのセキュリティ評価を実施した記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.1","S(4)-5.2.1.1","S(4)-5.2.1.1.2"]
[224,"S(4)-5.2.1.2.1","標準","組織のセキュリティポリシーに基づく、ツールとツールチェーンのセキュリティ堅牢化及び、配備に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.1","S(4)-5.2.1.2","S(4)-5.2.1.2.1"]
[225,"S(4)-5.2.2.1.1","最低限/標準","ツールチェーンの重要な設定項目について、定期的又は継続的なレビュー記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.1","S(4)-5.2.2.1.1"]
[226,"S(4)-5.2.2.1.2","標準","構成管理ツール等を用いて、ツールの設定変更を管理し、特定したセキュアな構成からの逸脱を検知・通知している。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.1","S(4)-5.2.2.1.2"]
[227,"S(4)-5.2.2.2.1","最低限/標準","ツールチェーンにおいて、本番環境への無許可アクセス等の重大なポリシー違反を検知するための記録が存在している。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.2","S(4)-5.2.2.2.1"]
[228,"S(4)-5.2.2.2.2","標準","ツールチェーンにおいて、収集したログを分析し、検知すべき異常な振る舞いやポリシー違反を検知するための監視ルールを実装している。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.2","S(4)-5.2.2.2.2"]
[229,"S(4)-5.2.2.3.1","最低限/標準","ツールチェーンにおいて、重大なポリシー違反を検知した際に、担当者が対応する手順に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.3","S(4)-5.2.2.3.1"]
[230,"S(4)-5.2.2.3.2","標準","ツールチェーンにおいて、検知したイベントへの一連の対応プロセスと、過去の対応記録に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.2","S(4)-5.2.2.3","S(4)-5.2.2.3.2"]
[231,"S(4)-5.2.3.1.1","最低限/標準","利用しているツールに既知の重大な脆弱性がないことを定期的又は継続的に確認した記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.1","S(4)-5.2.3.1.1"]
[232,"S(4)-5.2.3.1.2","標準","組織のポリシーに従い、利用しているツールのセキュリティの評価を定期的又は継続的に実施する手順がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.1","S(4)-5.2.3.1.2"]
[233,"S(4)-5.2.3.2.1","最低限/標準","ツールに重大な脆弱性が発見された場合、パッチ適用やバージョンアップを実施した記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.2","S(4)-5.2.3.2.1"]
[234,"S(4)-5.2.3.2.2","標準","自組織の開発プロセスの見直し、もしくは新しいツール機能にあわせてツールを評価し、必要に応じてツールを更新、アップグレード、または交換する手順がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.2","S(4)-5.2.3","S(4)-5.2.3.2","S(4)-5.2.3.2.2"]
[235,"S(4)-5.3.1.1.1","最低限/標準","ソースコードリポジトリにおいて、誰が、いつ、どのコードを変更したかに関する記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.3","S(4)-5.3.1","S(4)-5.3.1.1","S(4)-5.3.1.1.1"]
[236,"S(4)-5.3.1.1.2","標準","一連の開発・運用アクションが追跡可能な形で記録されるようにツールチェーンを構成していることを示す記録がある。",null,"○",null,null,null,null,null,null,null,{"$f":"LEFT(B239,FIND(\")\",B239))","v":"S(4)"},{"$f":"LEFT(B239,FIND(\".\",B239&\".\")-1)","v":"S(4)-5"},{"$f":"LEFT(B239,FIND(\".\",B239,FIND(\".\",B239)+1)-1)","v":"S(4)-5.3"},{"$f":"LEFT(B239,FIND(\".\",B239,FIND(\".\",B239,FIND(\".\",B239)+1)+1)-1)","v":"S(4)-5.3.1"},{"$f":"LEFT(\n  B239,\n  FIND(\".\",\n       B239,\n       FIND(\".\",\n            B239,\n            FIND(\".\",\n                 B239,\n                 FIND(\".\",B239)+1\n            )+1\n       )+1\n  )-1\n)","v":"S(4)-5.3.1.1"},{"$f":"B239","v":"S(4)-5.3.1.1.2"}]
[237,"S(4)-5.3.1.1.3","標準","開発・運用アクションに関する監査証跡のアクセス制御に関わる資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-5","S(4)-5.3","S(4)-5.3.1","S(4)-5.3.1.1","S(4)-5.3.1.1.3"]
[238,"S(4)-6.1.1.1.1","最低限/標準","ソフトウェア開発の各環境の基本的な構成や管理状況に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.1","S(4)-6.1.1.1.1"]
[239,"S(4)-6.1.1.1.2","標準","目的やリスクレベルに応じて各環境間の分離と保護の方式が定義され、分離と保護を実施していることを示す資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.1","S(4)-6.1.1.1.2"]
[240,"S(4)-6.1.1.1.3","標準","ソフトウェア開発の各フェーズで使用される環境ごとのデータの保護方針を示す資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.1","S(4)-6.1.1.1.3"]
[241,"S(4)-6.1.1.2.1","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツールの脆弱性を監視し対処する手続きに関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2","S(4)-6.1.1.2.1"]
[242,"S(4)-6.1.1.2.2","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツール・対策の構成変更に関する記録がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2","S(4)-6.1.1.2.2"]
[243,"S(4)-6.1.1.2.3","標準","ソフトウェア開発の各フェーズで使用される環境間の分離と保護状態のチェックに関する記録がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2","S(4)-6.1.1.2.3"]
[244,"S(4)-6.1.1.2.4","標準","ソフトウェア開発の各フェーズで使用される環境について、監視を通じてサイバーインシデントを検出し、インシデントから回復する手順に関する資料や情報がある。",null,"○",null,"○",null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.1","S(4)-6.1.1","S(4)-6.1.1.2","S(4)-6.1.1.2.4"]
[245,"S(4)-6.2.1.1.1","最低限/標準","ソフトウェアの設計者、開発者、テスター、ビルダー向けなどの開発環境及び開発用エンドポイントにおける一般的な脅威を識別し、リスク評価を実施した記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.2","S(4)-6.2.1","S(4)-6.2.1.1","S(4)-6.2.1.1.1"]
[246,"S(4)-6.2.1.1.2","標準","開発環境及び開発用エンドポイントにおける開発者の行動や利用シナリオを想定した具体的な脅威シナリオに基づき、詳細なリスク分析を実施した記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.2","S(4)-6.2.1","S(4)-6.2.1.1","S(4)-6.2.1.1.2"]
[247,"S(4)-6.2.2.1.1","最低限/標準","開発環境及び開発用エンドポイントに導入すべき基本的なセキュリティ対策の方針や基準を定めた資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.1","S(4)-6.2.2.1.1"]
[248,"S(4)-6.2.2.1.2","標準","リスク評価の結果に基づき、開発環境及び開発用エンドポイントからアクセスするリソース、また開発環境及び開発用エンドポイントに導入すべきセキュリティ対策の方針や基準を定めた資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.1","S(4)-6.2.2.1.2"]
[249,"S(4)-6.2.2.2.1","最低限/標準","開発環境及びエンドポイントの基本的なセキュリティ対策を実施していることを示す資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.2","S(4)-6.2.2.2.1"]
[250,"S(4)-6.2.2.2.2","標準","開発環境およびエンドポイントの堅牢化と監視を定期的又は継続的に運用している記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.2","S(4)-6.2.2.2.2"]
[251,"S(4)-6.2.2.3.1","最低限/標準","開発環境及び開発用エンドポイントでのインシデント発生時の報告・対応手順に関する資料や情報がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.3","S(4)-6.2.2.3.1"]
[252,"S(4)-6.2.2.3.2","標準","インシデント発生時に、手順に則って対応（封じ込め、調査、復旧）した記録がある、または対応訓練の実施に関する記録がある。",null,"○",null,null,null,null,null,null,null,"S(4)","S(4)-6","S(4)-6.2","S(4)-6.2.2","S(4)-6.2.2.3","S(4)-6.2.2.3.2"]
[253,"S(5)-1.1.1.1.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針に関する資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.1","S(5)-1.1.1","S(5)-1.1.1.1","S(5)-1.1.1.1.1"]
[254,"S(5)-1.1.1.2.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針の内容が、関連する外部要件に準拠していることを確認した記録がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.1","S(5)-1.1.1","S(5)-1.1.1.2","S(5)-1.1.1.2.1"]
[255,"S(5)-1.1.2.1.1","標準","外部からの脆弱性報告等の情報受付と外部への情報発信に関する役割を定めた資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.1","S(5)-1.1.2","S(5)-1.1.2.1","S(5)-1.1.2.1.1"]
[256,"S(5)-1.1.2.2.1","標準","外部から情報を受け取った際、または自社から情報を発信する際の基本的な対応手順に関する資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.1","S(5)-1.1.2","S(5)-1.1.2.2","S(5)-1.1.2.2.1"]
[257,"S(5)-1.2.1.1.1","最低限/標準","関係ベンダーに提供しているセキュリティ情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.1","S(5)-1.2.1.1.1"]
[258,"S(5)-1.2.1.1.2","標準","情報連携を実施するためのポリシーに基づき、関係ベンダー毎に、適切な情報提供チャネルを用意し、情報提供チャネルごとの情報を入手する方法に関する資料や情報があること。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.1","S(5)-1.2.1.1.2"]
[259,"S(5)-1.2.1.2.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報に関して公開している資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.2","S(5)-1.2.1.2.1"]
[260,"S(5)-1.2.1.2.2","標準","脆弱性情報に加え、製品のセキュアな利用方法や業界固有の脅威情報等に関して提供先の特性に応じて公開している資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.2","S(5)-1.2.1","S(5)-1.2.1.2","S(5)-1.2.1.2.2"]
[261,"S(5)-1.2.2.1.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報を連携対象として定義した資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.2","S(5)-1.2.2","S(5)-1.2.2.1","S(5)-1.2.2.1.1"]
[262,"S(5)-1.2.2.1.2","標準","脆弱性情報に加え、脅威情報、インシデント情報、製品のセキュアな設定・運用に関するベストプラクティスなど提供対象とすべき重要情報を定義した資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.2","S(5)-1.2.2","S(5)-1.2.2.1","S(5)-1.2.2.1.2"]
[263,"S(5)-1.3.1.1.1","最低限/標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）に参加していること。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.3","S(5)-1.3.1","S(5)-1.3.1.1","S(5)-1.3.1.1.1"]
[264,"S(5)-1.3.1.2.1","標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）から取り込んだ脆弱性情報等をS(5)-1.2の活動に活用した資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-1","S(5)-1.3","S(5)-1.3.1","S(5)-1.3.1.2","S(5)-1.3.1.2.1"]
[265,"S(5)-2.1.1.1.1","最低限/標準","少なくとも一つのセキュリティに関わる業界団体やコミュニティに参加した記録がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-2","S(5)-2.1","S(5)-2.1.1","S(5)-2.1.1.1","S(5)-2.1.1.1.1"]
[266,"S(5)-2.1.1.1.2","標準","事業領域や技術領域に応じて、セキュリティに関わる複数の適切な業界団体やコミュニティに自組織として参加している記録がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-2","S(5)-2.1","S(5)-2.1.1","S(5)-2.1.1.1","S(5)-2.1.1.1.2"]
[267,"S(5)-2.1.2.1.1","最低限/標準","業界団体やコミュニティの活動で得たセキュリティに関わる情報を、社内関係者に共有した記録がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-2","S(5)-2.1","S(5)-2.1.2","S(5)-2.1.2.1","S(5)-2.1.2.1.1"]
[268,"S(5)-2.1.2.1.2","標準","業界団体やコミュニティから得たセキュリティに関わる情報を基に、自社のセキュリティ対策への影響を評価、もしくは対策を更新した記録がある。",null,"○","○","○",null,null,null,null,null,{"$f":"LEFT(B271,FIND(\")\",B271))","v":"S(5)"},{"$f":"LEFT(B271,FIND(\".\",B271&\".\")-1)","v":"S(5)-2"},{"$f":"LEFT(B271,FIND(\".\",B271,FIND(\".\",B271)+1)-1)","v":"S(5)-2.1"},{"$f":"LEFT(B271,FIND(\".\",B271,FIND(\".\",B271,FIND(\".\",B271)+1)+1)-1)","v":"S(5)-2.1.2"},{"$f":"LEFT(\n  B271,\n  FIND(\".\",\n       B271,\n       FIND(\".\",\n            B271,\n            FIND(\".\",\n                 B271,\n                 FIND(\".\",B271)+1\n            )+1\n       )+1\n  )-1\n)","v":"S(5)-2.1.2.1"},{"$f":"B271","v":"S(5)-2.1.2.1.2"}]
[269,"S(5)-2.2.1.1.1","最低限/標準","自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて業界団体やコミュニティへ公表した記録がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-2","S(5)-2.2","S(5)-2.2.1","S(5)-2.2.1.1","S(5)-2.2.1.1.1"]
[270,"S(5)-2.2.1.1.2","標準","業界団体やコミュニティ活動の推進に関する積極的な関与に関する資料や情報がある。",null,"○","○","○",null,null,null,null,null,"S(5)","S(5)-2","S(5)-2.2","S(5)-2.2.1","S(5)-2.2.1.1","S(5)-2.2.1.1.2"]
[271,"S(6)-1.1.1.1.1","最低限/標準","オーナーシップを持つシステム及びソフトウェアのリスク管理の責任について（顧客の）経営層がコミットしていること。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.1","S(6)-1.1.1","S(6)-1.1.1.1","S(6)-1.1.1.1.1"]
[272,"S(6)-1.1.1.2.1","最低限/標準","システム及びソフトウェアのリスク管理を（顧客が）独立かつ主体的に実施している資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.1","S(6)-1.1.1","S(6)-1.1.1.2","S(6)-1.1.1.2.1"]
[273,"S(6)-1.1.2.1.1","最低限/標準","リスク管理上重要な事業者と、明確な責任分担と契約に基づきリスク管理を実施している資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1","S(6)-1.1.2.1.1"]
[274,"S(6)-1.1.2.1.2","標準","ソフトウェア・システムを調達する場合、顧客と供給者のセキュリティに関する責任を明確にし、透明性の高い事業者を優先的に採用したことを示す資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1","S(6)-1.1.2.1.2"]
[275,"S(6)-1.1.2.1.3","標準","システム運用・保守サービスを利用する場合、運用・保守委託先事業者と、インシデント対応・脆弱性対応・役割分担を含む契約を締結したことを示す資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1","S(6)-1.1.2.1.3"]
[276,"S(6)-1.1.2.1.4","標準","クラウドサービスを利用する場合、責任共有モデルに基づいて顧客と供給者のセキュリティに関する責任を明確にし、透明性の高いクラウド事業者を優先的に採用したことを示す資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.1","S(6)-1.1.2","S(6)-1.1.2.1","S(6)-1.1.2.1.4"]
[277,"S(6)-1.2.1.1.1","最低限/標準","導入ソフトウェアのセキュリティ確保のための要件/基準と検証方法を定め、契約（締結済み又は締結予定の）事業者にエビデンスを要求したことを示す資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1","S(6)-1.2.1.1.1"]
[278,"S(6)-1.2.1.1.2","最低限/標準","導入ソフトウェアの更新ポリシー及びサポート期限に基づく運用計画及び体制に関する資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1","S(6)-1.2.1.1.2"]
[279,"S(6)-1.2.1.1.3","最低限/標準","導入ソフトウェアの既知の脆弱性への対処や緩和策を主体的に実施するための方針及び担当割当に関する資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1","S(6)-1.2.1.1.3"]
[280,"S(6)-1.2.1.1.4","標準","主体的取組を促進するための自組織の管理体制、関連事業者とのコミュニケーションパスを整備している資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.1","S(6)-1.2.1.1.4"]
[281,"S(6)-1.2.1.2.1","最低限/標準","導入ソフトウェアの脆弱性に対して主体的に対処した記録がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.2","S(6)-1.2.1.2.1"]
[282,"S(6)-1.2.1.2.2","標準","導入ソフトウェアの脆弱性に対して契約（締結済み又は締結予定の）事業者と協力して対処した記録がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.2","S(6)-1.2.1","S(6)-1.2.1.2","S(6)-1.2.1.2.2"]
[283,"S(6)-1.3.1.1.1","標準","導入ソフトウェアのセキュリティに関する情報を得るためのチャネル参加に関する資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.1","S(6)-1.3.1.1.1"]
[284,"S(6)-1.3.1.1.2","標準","ソフトウェアセキュリティに関するコミュニティや協力体制への参加に関する資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.1","S(6)-1.3.1.1.2"]
[285,"S(6)-1.3.1.1.3","標準","コミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善した記録がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.1","S(6)-1.3.1.1.3"]
[286,"S(6)-1.3.1.2.1","標準","コミュニティへのリソース提供、及び支援活動への参加に関する資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.2","S(6)-1.3.1.2.1"]
[287,"S(6)-1.3.1.2.2","標準","コミュニティに対して提供したセキュリティ改善への貢献が見込まれる資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-1","S(6)-1.3","S(6)-1.3.1","S(6)-1.3.1.2","S(6)-1.3.1.2.2"]
[288,"S(6)-2.1.1.1.1","最低限/標準","ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義した資料がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.1","S(6)-2.1.1.1.1"]
[289,"S(6)-2.1.1.1.2","標準","セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義した資料がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.1","S(6)-2.1.1.1.2"]
[290,"S(6)-2.1.1.1.3","標準","当局や信頼できる外部組織が整備したプロファイルに基づいて、ソフトウェアのセキュリティ要件を定義した資料がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.1","S(6)-2.1.1.1.3"]
[291,"S(6)-2.1.1.2.1","最低限/標準","RFPとして、定義したセキュリティ要件を提示した資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.2","S(6)-2.1.1.2.1"]
[292,"S(6)-2.1.1.2.2","標準","RFIとして、定義したセキュリティ要件を提示した資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.1","S(6)-2.1.1","S(6)-2.1.1.2","S(6)-2.1.1.2.2"]
[293,"S(6)-2.2.1.1.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルト慣行に力点を置いた調達（購入）基準を整備した資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.2","S(6)-2.2.1","S(6)-2.2.1.1","S(6)-2.2.1.1.1"]
[294,"S(6)-2.2.1.2.1","最低限/標準","ソフトウェア調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示した資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.2","S(6)-2.2.1","S(6)-2.2.1.2","S(6)-2.2.1.2.1"]
[295,"S(6)-2.3.1.1.1","最低限/標準","ソフトウェアの調達・導入前に、事業者に必要な資料や情報を要求し、業務特性を踏まえたリスクに基づくセキュリティ評価を実施することを定めたポリシーに関する資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.3","S(6)-2.3.1","S(6)-2.3.1.1","S(6)-2.3.1.1.1"]
[296,"S(6)-2.3.1.2.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルトの慣行に力点を置いた調達（購入）基準に基づき、ソフトウェアの調達・導入を優先するポリシーに関する資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.3","S(6)-2.3.1","S(6)-2.3.1.2","S(6)-2.3.1.2.1"]
[297,"S(6)-2.3.1.3.1","最低限/標準","ポリシーに従い、ソフトウェア調達・導入の意思決定に必要なリスク判断を正式に文書化し、経営者が承認した資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.3","S(6)-2.3.1","S(6)-2.3.1.3","S(6)-2.3.1.3.1"]
[298,"S(6)-2.4.1.1.1","最低限/標準","自組織のリスク分析に基づきソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定した資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.1","S(6)-2.4.1.1.1"]
[299,"S(6)-2.4.1.2.1","最低限/標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算要求に関する記録がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.2","S(6)-2.4.1.2.1"]
[300,"S(6)-2.4.1.2.2","標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算の申請手続に関する資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.2","S(6)-2.4.1.2.2"]
[301,"S(6)-2.4.1.3.1","最低限/標準","セキュリティ活動のための予算が承認されていることを示す記録がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.3","S(6)-2.4.1.3.1"]
[302,"S(6)-2.4.1.3.2","標準","中長期的なセキュリティ対策方針に基づいた予算が経営方針として示された資料や情報がある。",null,null,null,null,"○",null,null,null,null,"S(6)","S(6)-2","S(6)-2.4","S(6)-2.4.1","S(6)-2.4.1.3","S(6)-2.4.1.3.2"]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]
[null,null,null,null,null,null,null,null,null,null,null,null,null,{"$f":"LEFT(#REF!,FIND(\")\",#REF!))","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!&\".\")-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!,FIND(\".\",#REF!)+1)+1)-1)","v":{"$error":"#REF!"}},{"$f":"LEFT(#REF!,\n  FIND(\n  \".\",#REF!,\n       FIND(\n       \".\",#REF!,\n            FIND(\n            \".\",#REF!,\n                 FIND(\n                 \".\",#REF!)+1\n            )+1\n       )+1\n  )-1\n)","v":{"$error":"#REF!"}},{"$f":"#REF!","v":{"$error":"#REF!"}}]

{"sheet":"自己評価宣言書","index":12,"n_rows":51,"n_cols":13,"rows_kept":51,"cut":false,"hidden":false,"merged":[[16,9,16,12],[17,9,17,12],[18,9,18,12],[19,9,19,12],[2,0,2,14],[16,3,16,6],[17,3,17,6],[18,3,18,6],[19,3,19,6],[9,5,9,12],[10,5,10,12],[7,2,7,4],[8,2,8,4],[9,2,9,4],[10,2,10,4],[25,5,25,6],[25,2,25,4],[7,5,7,6],[23,5,23,6],[23,7,23,8],[7,7,7,12],[8,5,8,12],[23,9,23,10],[11,2,11,4],[22,2,23,4],[11,5,11,12],[22,5,22,6],[22,7,22,8],[22,9,22,10],[22,11,22,12],[23,11,23,12]]}
[]
[null,null,null,null,null,null,null,null,null,null,"評価日：",{"$f":"TEXT(TODAY(),\"yyyy年mm月dd日\")","v":"2026年03月30日"}]
["自己評価宣言書"]
[]
[]
[null,null,"評価宣言情報"]
[]
[null,null,"宣言範囲の種類\n※「その他」を選択した場合は右の欄に記入してください。"]
[null,null,"宣言範囲の名称"]
[null,null,"宣言範囲の概要"]
[null,null,"宣言範囲のバージョン・リリース日"]
[null,null,"（任意）宣言範囲に関わる参考情報（例：URL等）"]
[]
[]
[null,null,"宣言主体の情報",null,null,null,null,null,"顧客の情報"]
[]
[null,null,"企業名",null,null,null,null,null,"企業名"]
[null,null,"責任者名",null,null,null,null,null,"責任者名"]
[null,null,"担当者名",null,null,null,null,null,"担当者名"]
[null,null,"担当者連絡先",null,null,null,null,null,"担当者連絡先"]
[]
[]
[null,null,"役割",null,null,"開発者",null,"供給者",null,"運用者",null,"顧客"]
[null,null,null,null,null,{"$f":"はじめに!L22","v":"〇"},null,{"$f":"はじめに!M22","v":"〇"},null,{"$f":"はじめに!N22","v":"〇"},null,{"$f":"はじめに!O22","v":"〇"}]
[]
[null,null,"評価レベル",null,null,{"$f":"はじめに!L24","v":"標準要求"}]
[]
[]
[null,null,"宣言主体による適合評価結果",null,null,null,null,null,"顧客による適合評価結果"]
[]
[null,null,"カテゴリ",null,null,"要求事項",null,null,"カテゴリ",null,null,"要求事項"]
[]
[null,null,{"$f":"_xlfn.LET(_xlpm.r, tblOut[S1],\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(_xlpm.r, (_xlpm.r<>\"\")*(_xlpm.r<>\"-\")*ISERROR(SEARCH(\"S(6)\", _xlpm.r)))\n  )\n)","v":"S(1)"},{"$f":"_xlfn.MAP(_xlfn.ANCHORARRAY(C33),_xlfn.LAMBDA(_xlpm.k,\n  _xlfn.LET(\n    _xlpm.n, tblOut[S1],\n    _xlpm.j, tblOut[適合判定],\n    _xlpm.cond, ISERROR(SEARCH(\"S(6)\", _xlpm.n)),\n    _xlpm.total, SUMPRODUCT((_xlpm.n=_xlpm.k)*_xlpm.cond),\n    _xlpm.ok,    SUMPRODUCT((_xlpm.n=_xlpm.k)*(_xlpm.j=\"適合\")*_xlpm.cond),\n    _xlpm.na,    SUMPRODUCT((_xlpm.n=_xlpm.k)*(_xlpm.j=\"N/A（対象外）\")*_xlpm.cond),\n    _xlpm.bad, _xlpm.total-_xlpm.ok-_xlpm.na,\n    IF(_xlpm.total=0,\"\",\n       IF(_xlpm.bad>0,\"改善予定（未適合）\",\n          IF(_xlpm.ok>0,\"適合\",\"N/A（対象外）\")))\n  )\n))","v":"改善予定（未適合）"},null,{"$f":"_xlfn.LET(_xlpm.r, tblOut[S2],\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(_xlpm.r, (_xlpm.r<>\"\")*(_xlpm.r<>\"-\")*ISERROR(SEARCH(\"S(6)\", _xlpm.r)))\n  )\n)","v":"S(1)-1"},{"$f":"_xlfn.MAP(_xlfn.ANCHORARRAY(F33),_xlfn.LAMBDA(_xlpm.k,\n  _xlfn.LET(\n    _xlpm.o, tblOut[S2],\n    _xlpm.j, tblOut[適合判定],\n    _xlpm.cond, ISERROR(SEARCH(\"S(6)\", _xlpm.o)),\n    _xlpm.total, SUMPRODUCT((_xlpm.o=_xlpm.k)*_xlpm.cond),\n    _xlpm.ok,    SUMPRODUCT((_xlpm.o=_xlpm.k)*(_xlpm.j=\"適合\")*_xlpm.cond),\n    _xlpm.na,    SUMPRODUCT((_xlpm.o=_xlpm.k)*(_xlpm.j=\"N/A（対象外）\")*_xlpm.cond),\n    _xlpm.bad, _xlpm.total-_xlpm.ok-_xlpm.na,\n    IF(_xlpm.total=0,\"\",\n       IF(_xlpm.bad>0,\"改善予定（未適合）\",\n          IF(_xlpm.ok>0,\"適合\",\"N/A（対象外）\")))\n  )\n))","v":"改善予定（未適合）"},null,{"$f":"_xlfn.LET(_xlpm.r, tblOut[S1],\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(_xlpm.r, (_xlpm.r<>\"\")*(_xlpm.r<>\"-\")*ISNUMBER(SEARCH(\"S(6)\", _xlpm.r)), \"\")\n  )\n)","v":"S(6)"},{"$f":"IFERROR(\n  _xlfn.MAP(_xlfn.ANCHORARRAY(I33),_xlfn.LAMBDA(_xlpm.k,\n    _xlfn.LET(\n      _xlpm.n, tblOut[S1],\n      _xlpm.j, tblOut[適合判定],\n      _xlpm.cond, ISNUMBER(SEARCH(\"S(6)\", _xlpm.n)),\n      _xlpm.total, SUMPRODUCT((_xlpm.n=_xlpm.k)*_xlpm.cond),\n      _xlpm.ok,    SUMPRODUCT((_xlpm.n=_xlpm.k)*(_xlpm.j=\"適合\")*_xlpm.cond),\n      _xlpm.na,    SUMPRODUCT((_xlpm.n=_xlpm.k)*(_xlpm.j=\"N/A（対象外）\")*_xlpm.cond),\n      _xlpm.bad, _xlpm.total-_xlpm.ok-_xlpm.na,\n      IF(_xlpm.total=0,\"\",\n         IF(_xlpm.bad>0,\"改善予定（未適合）\",\n            IF(_xlpm.ok>0,\"適合\",\"N/A（対象外）\")))\n    )\n  )),\n  \"\"\n)","v":"改善予定（未適合）"},null,{"$f":"_xlfn.LET(_xlpm.r, tblOut[S2],\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(_xlpm.r, (_xlpm.r<>\"\")*(_xlpm.r<>\"-\")*ISNUMBER(SEARCH(\"S(6)\", _xlpm.r)), \"\")\n  )\n)","v":"S(6)-1"},{"$f":"IFERROR(\n  _xlfn.MAP(_xlfn.ANCHORARRAY(L33),_xlfn.LAMBDA(_xlpm.k,\n    _xlfn.LET(\n      _xlpm.n, tblOut[S2],\n      _xlpm.j, tblOut[適合判定],\n      _xlpm.cond, ISNUMBER(SEARCH(\"S(6)\", _xlpm.n)),\n      _xlpm.total, SUMPRODUCT((_xlpm.n=_xlpm.k)*_xlpm.cond),\n      _xlpm.ok,    SUMPRODUCT((_xlpm.n=_xlpm.k)*(_xlpm.j=\"適合\")*_xlpm.cond),\n      _xlpm.na,    SUMPRODUCT((_xlpm.n=_xlpm.k)*(_xlpm.j=\"N/A（対象外）\")*_xlpm.cond),\n      _xlpm.bad, _xlpm.total-_xlpm.ok-_xlpm.na,\n      IF(_xlpm.total=0,\"\",\n         IF(_xlpm.bad>0,\"改善予定（未適合）\",\n            IF(_xlpm.ok>0,\"適合\",\"N/A（対象外）\")))\n    )\n  )),\n  \"\"\n)","v":"改善予定（未適合）"}]
[null,null,"S(2)","改善予定（未適合）",null,"S(1)-2","改善予定（未適合）",null,null,null,null,"S(6)-2","改善予定（未適合）"]
[null,null,"S(3)","改善予定（未適合）",null,"S(1)-3","改善予定（未適合）"]
[null,null,"S(4)","改善予定（未適合）",null,"S(1)-4","改善予定（未適合）"]
[null,null,"S(5)","改善予定（未適合）",null,"S(2)-1","改善予定（未適合）"]
[null,null,null,null,null,"S(2)-2","改善予定（未適合）"]
[null,null,null,null,null,"S(2)-3","改善予定（未適合）"]
[null,null,null,null,null,"S(2)-4","改善予定（未適合）"]
[null,null,null,null,null,"S(3)-1","改善予定（未適合）"]
[null,null,null,null,null,"S(3)-2","改善予定（未適合）"]
[null,null,null,null,null,"S(3)-3","改善予定（未適合）"]
[null,null,null,null,null,"S(4)-1","改善予定（未適合）"]
[null,null,null,null,null,"S(4)-2","改善予定（未適合）"]
[null,null,null,null,null,"S(4)-3","改善予定（未適合）"]
[null,null,null,null,null,"S(4)-4","改善予定（未適合）"]
[null,null,null,null,null,"S(4)-5","改善予定（未適合）"]
[null,null,null,null,null,"S(4)-6","改善予定（未適合）"]
[null,null,null,null,null,"S(5)-1","改善予定（未適合）"]
[null,null,null,null,null,"S(5)-2","改善予定（未適合）"]

{"sheet":"自己評価宣言書別紙","index":13,"n_rows":73,"n_cols":5,"rows_kept":73,"cut":false,"hidden":false,"merged":[[1,0,1,5]]}
[]
["自己評価宣言書別紙"]
[]
[null,"個別要求ID","個別要求タイトル","適合判定結果","検出事項・適合判定根拠"]
[null,{"$f":"_xlfn.LET(_xlpm.r, tblOut[S3],\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(_xlpm.r, (_xlpm.r<>\"\")*(_xlpm.r<>\"-\"))\n  )\n)","v":"S(1)-1.1"},{"$f":"_xlfn.XLOOKUP(_xlfn.ANCHORARRAY(\n  B5),\n  個別要求DB!$A:$A,\n  個別要求DB!$B:$B,\n  \"\"\n)","v":"リスクベースのセキュリティ要件の定義"},{"$f":"_xlfn.MAP(_xlfn.ANCHORARRAY(B5),_xlfn.LAMBDA(_xlpm.k,\n  _xlfn.LET(\n    _xlpm.n,  tblOut[S3],\n    _xlpm.j,  tblOut[適合判定],\n    _xlpm.total, COUNTIF(_xlpm.n,_xlpm.k),\n    _xlpm.ok,    COUNTIFS(_xlpm.n,_xlpm.k, _xlpm.j,\"適合\"),\n    _xlpm.na,    COUNTIFS(_xlpm.n,_xlpm.k, _xlpm.j,\"N/A（対象外）\"),\n    _xlpm.bad, _xlpm.total-_xlpm.ok-_xlpm.na,\n    IF(_xlpm.total=0,\"\",\n       IF(_xlpm.bad>0,\"改善予定（未適合）\",\n          IF(_xlpm.ok>0,\"適合\",\"N/A（対象外）\")))\n  )\n))","v":"改善予定（未適合）"},{"$f":"_xlfn.LET(_xlpm.key, TRIM($B5),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-1.2","設計レビュー","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B6),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-1.3","リスク対応記録","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B7),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-1.4","リスクベースの定期的確認","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B8),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-2.1","セキュア開発プロセスの定義","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B9),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-2.2","セキュアビルド","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B10),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-2.3","検証とフィードバック","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B11),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-2.4","コードベース","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B12),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-3.1","テスト計画","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B13),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-3.2","テスト方式","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B14),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-3.3","テスト実施","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B15),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-3.4","問題への対応","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B16),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-4.1","資産管理","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B17),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-4.2","モニタリング環境の整備","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B18),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-4.3","セキュリティメカニズムの整備","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B19),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(1)-4.4","モニタリングと評価","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B20),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-1.1","ソフトウェアコンポーネントの手配","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B21),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-1.2","ソフトウェアコンポーネントの開発・維持","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B22),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-1.3","ソフトウェアコンポーネントのリスク評価","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B23),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B24),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-1.5","ソフトウェアコンポーネントの更新","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B25),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-2.1","コードベースの保護","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B26),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-2.2","リリースのアーカイブ","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B27),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-2.3","リリースの出所データの共有","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B28),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-3.1","セキュリティ要件の合意","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B29),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-3.2","サプライチェーンセキュリティ要求への対応\t","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B30),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-3.3","セキュリティ要件を満たさないリスクへの対処プロセスの整備","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B31),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B32),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(2)-4.2","整合性検証情報の提供","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B33),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(3)-1.1","脆弱性対応体制の設置","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B34),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(3)-1.2","コミュニケーション計画","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B35),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(3)-1.3","脆弱性情報の収集","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B36),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(3)-1.4","未検出の脆弱性の特定","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B37),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(3)-2.1","脆弱性の分析","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B38),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(3)-2.2","脆弱性へのリスク対応","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B39),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(3)-2.3","セキュリティ勧告","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B40),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(3)-3.1","根本原因の特定","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B41),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(3)-3.2","プロセス改善","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B42),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-1.1","役割と責務の定義","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B43),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-1.2","経営層のコミットメント","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B44),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-1.3","役割と責務の同意","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B45),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-1.4","各役割のトレーニング","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B46),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-1.5","役割とトレーニングの見直し","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B47),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-2.1","ソフトウェア開発ポリシーの定義","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B48),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B49),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-2.3","費用認識の共有と予算化","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B50),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B51),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-3.2","サービスのセキュリティポリシーの定義と維持","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B52),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-3.3","運用ポリシーに基づく監査","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B53),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-4.1","セキュリティ確認基準の定義と追跡","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B54),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B55),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-4.3","セキュリティ確認基準に基づく監査","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B56),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-5.1","ツールとツールチェーンの指定","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B57),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-5.2","ツールとツールチェーンの配備・運用・保守","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B58),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-5.3","ツール構成と証跡生成","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B59),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-6.1","環境の分離保護","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B60),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(4)-6.2","開発用エンドポイントの保護","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B61),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(5)-1.1","情報連携のための組織体制の構築","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B62),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(5)-1.2","重要なセキュリティ関連情報の提供","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B63),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(5)-1.3","脆弱性情報の通知サービスの利用","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B64),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(5)-2.1","協力体制の活用","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B65),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(5)-2.2","協力体制への貢献","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B66),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(6)-1.1","リスク管理","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B67),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(6)-1.2","リソース整備","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B68),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(6)-1.3","協力体制の活用","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B69),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(6)-2.1","セキュリティ要件の定義","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B70),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(6)-2.2","セキュリティ慣行の要求開示","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B71),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(6)-2.3","リスク評価に基づく意思決定","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B72),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]
[null,"S(6)-2.4","予算確保","改善予定（未適合）",{"$f":"_xlfn.LET(_xlpm.key, TRIM($B73),\n _xlfn.TEXTJOIN(\n  CHAR(10),\n  TRUE,\n  _xlfn.UNIQUE(\n    _xlfn._xlws.FILTER(\n      tblOut[改善計画],\n      (TRIM(tblOut[S3])=_xlpm.key)*\n      (tblOut[改善計画]<>\"\"),\n      \"\"\n    )\n  )\n )\n)","v":""}]

{"sheet":"参考資料","index":14,"n_rows":0,"n_cols":0,"rows_kept":0,"cut":false,"hidden":false,"merged":[]}

{"sheet":"評価事項一覧","index":15,"n_rows":303,"n_cols":10,"rows_kept":303,"cut":false,"hidden":false,"merged":[]}
[{"$f":"_xlfn.LET(\n _xlpm.src, tblJoinedCache[],\n _xlpm.hdr, qryJoined_cache!$A$1:$S$1,\n _xlpm.names, {\"要求ID\",\"個別要求タイトル\",\"個別要求\",\"確認項目ID\",\"確認項目\",\"評価項目ID\",\"評価項目\",\"評価ID\",\"評価レベル\",\"評価内容\"},\n _xlpm.idx, _xlfn.XMATCH(_xlpm.names, _xlpm.hdr, 0),\n _xlfn.VSTACK(_xlpm.names, _xlfn.CHOOSECOLS(_xlpm.src, _xlpm.idx))\n)","v":"要求ID"},"個別要求タイトル","個別要求","確認項目ID","確認項目","評価項目ID","評価項目","評価ID","評価レベル","評価内容"]
["S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","S(1)-1.1.1.1","評価項目１：リスクの分析・評価の結果が存在すること。","S(1)-1.1.1.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスク評価に関する資料や情報がある。"]
["S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","S(1)-1.1.1.1","評価項目１：リスクの分析・評価の結果が存在すること。","S(1)-1.1.1.1.2","標準","ソフトウェアの高リスク領域に関する詳細なリスク評価を実施した資料や情報がある。"]
["S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","S(1)-1.1.1.2","評価項目２：リスクの分析・評価の手法が特定していること。","S(1)-1.1.1.2.1","最低限/標準","リスクモデル（脅威モデル、攻撃モデル）に基づく分析手法を適用している。"]
["S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.1","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。","S(1)-1.1.1.2","評価項目２：リスクの分析・評価の手法が特定していること。","S(1)-1.1.1.2.2","標準","リスク分析の専門家と共同で作成したリスクモデルを適用している。"]
["S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","S(1)-1.1.2.1.1","最低限/標準","開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのセキュリティリスク分析・評価に基づいた、リスクの緩和策や例外措置に関する資料や情報がある。"]
["S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","S(1)-1.1.2.1.2","標準","セキュリティリスクの緩和策の達成手段に関する資料や情報がある。"]
["S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","S(1)-1.1.2.1","評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。","S(1)-1.1.2.1.3","標準","セキュリティリスクに対する例外措置が存在する場合、その例外措置を承認する際の根拠となる資料や情報がある。"]
["S(1)-1.1","リスクベースのセキュリティ要件の定義","開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。","S(1)-1.1.2","開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。","S(1)-1.1.2.2","評価項目２：ソフトウェアのセキュリティ要件を定義していること。","S(1)-1.1.2.2.1","最低限/標準","セキュリティリスクの緩和策の達成手段を実現するためのソフトウェアのセキュリティ要件を定義した資料がある。"]
["S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","S(1)-1.2.1.1","評価項目１：設計レビューの観点と方法を特定していること。","S(1)-1.2.1.1.1","最低限/標準","設計がセキュリティ要件を満たすことが確認できるレビューの観点及び方法を適用している。"]
["S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","S(1)-1.2.1.1","評価項目１：設計レビューの観点と方法を特定していること。","S(1)-1.2.1.1.2","最低限/標準","設計がセキュリティリスクの緩和に効果があることが確認できるレビューの観点及び方法を適用している。"]
["S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.1","全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。","S(1)-1.2.1.2","評価項目２：設計レビューの結果が存在すること。","S(1)-1.2.1.2.1","最低限/標準","特定した設計レビューの観点及び方法に基づいて設計レビューを実施した資料や情報がある。"]
["S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.2","ソフトウェア設計において、レビュー結果を設計修正やリスク対応の変更等として反映していること。","S(1)-1.2.2.1","評価項目１：設計レビュー結果に基づいた設計修正の対応記録が存在すること。","S(1)-1.2.2.1.1","最低限/標準","ソフトウェア設計における設計レビューの指摘事項等の結果を反映するために、設計の修正を実施した資料や情報がある。"]
["S(1)-1.2","設計レビュー","ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。","S(1)-1.2.2","ソフトウェア設計において、レビュー結果を設計修正やリスク対応の変更等として反映していること。","S(1)-1.2.2.2","評価項目２：設計レビュー結果に基づいたリスク対応戦略の変更に関する記録が存在すること。","S(1)-1.2.2.2.1","最低限/標準","設計レビュー結果を反映するために、設計修正以外にリスク対応戦略を変更する必要が生じた場合、そのリスク対応戦略の変更を実施した資料や情報がある。"]
["S(1)-1.3","リスク対応記録","設計上の決定事項、リスクへの対応、承認された例外措置に関する記録を保持し、ソフトウェアのライフサイクル全体を通じて監査や保守の目的で使用できるように維持する。","S(1)-1.3.1","設計上の決定事項、リスク軽減の達成方法、承認された例外措置に関する記録をソフトウェアライフサイクル全体を通じて監査・保守目的で使用されるよう維持管理・共有していること。","S(1)-1.3.1.1","評価項目１：ソフトウェアの設計に関係するリスク対応活動の記録が存在すること。","S(1)-1.3.1.1.1","標準","定義されたソフトウェアのセキュリティ要件に基づくソフトウェアのリスク対応活動において証拠として利用可能な、設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びとそれらの根拠に関する記録がある。"]
["S(1)-1.3","リスク対応記録","設計上の決定事項、リスクへの対応、承認された例外措置に関する記録を保持し、ソフトウェアのライフサイクル全体を通じて監査や保守の目的で使用できるように維持する。","S(1)-1.3.1","設計上の決定事項、リスク軽減の達成方法、承認された例外措置に関する記録をソフトウェアライフサイクル全体を通じて監査・保守目的で使用されるよう維持管理・共有していること。","S(1)-1.3.1.2","評価項目２：リスク対応活動の記録を維持管理・共有していること。","S(1)-1.3.1.2.1","標準","ソフトウェアのリスク対応活動に関する記録を、ソフトウェアライフサイクル全体で維持管理し、監査や保守の活動で活用可能とするための手続きや仕組みに関する資料や情報がある。"]
["S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","S(1)-1.4.1.1","評価項目１：リスク分析・評価結果の定期的なレビュー結果が存在すること。","S(1)-1.4.1.1.1","標準","リスクモデルの妥当性、及びリスク分析・評価結果に基づくセキュリティリスクの緩和策、及び例外処置の妥当性に関する定期的なレビューの手続き、及び結果に関する資料や情報がある。"]
["S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","S(1)-1.4.1.2","評価項目２：セキュリティリスクの対処方法の定期的な確認結果が存在すること。","S(1)-1.4.1.2.1","標準","ソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。"]
["S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.1","採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。","S(1)-1.4.1.2","評価項目２：セキュリティリスクの対処方法の定期的な確認結果が存在すること。","S(1)-1.4.1.2.2","標準","必要な場合、セキュリティ要件に対するソフトウェアの設計への反映を実施した資料や情報がある。"]
["S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.2","セキュリティ要件に対する全ての例外処置を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認していること。","S(1)-1.4.2.1","評価項目１：例外処置によるリスクの対処方法の定期的な確認結果が存在すること。","S(1)-1.4.2.1.1","標準","セキュリティ要件に対する例外処置がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。"]
["S(1)-1.4","リスクベースの定期的確認","セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。","S(1)-1.4.2","セキュリティ要件に対する全ての例外処置を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認していること。","S(1)-1.4.2.1","評価項目１：例外処置によるリスクの対処方法の定期的な確認結果が存在すること。","S(1)-1.4.2.1.2","標準","必要な場合、セキュリティ要件に対する例外処置によるセキュリティリスクへの対処方法の変更を承認し、変更を実施した資料や情報がある。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","S(1)-2.1.1.1","評価項目１：適用する開発言語・開発環境が関連する脆弱性をチェックしていること。","S(1)-2.1.1.1.1","最低限/標準","適用する開発言語・開発環境に、ビルド時に組み込まれるおそれのある脆弱性が含まれないことをチェックする手続きに関する資料や情報がある。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","S(1)-2.1.1.2","評価項目２：開発言語・開発環境の選定・更新プロセスを定義していること。","S(1)-2.1.1.2.1","標準","開発言語・開発環境の選定・更新の手続き、選定基準、更新基準に関する資料や情報がある。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","S(1)-2.1.1.3.1","最低限/標準","適用する開発言語・開発環境において、実装に影響を与えるオプション設定を含む使用法に関する資料や情報がある。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","S(1)-2.1.1.3.2","最低限/標準","適用する開発言語・開発環境を使用することにより、識別した脆弱性がビルド時に組み込まれることを回避できる手続きに関する資料や情報がある。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.1","開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。","S(1)-2.1.1.3","評価項目３：適用するセキュアビルドプロセスを定義していること。","S(1)-2.1.1.3.3","標準","ビルドツールを導入・更新するための変更管理手続き、ツールの真正性と整合性を継続的又は定期的に検証する手続き、及びこれらの実施体制に関する資料や情報がある。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.2","開発言語・開発環境に適したセキュアコーディングのためのプロセスを定義していること。","S(1)-2.1.2.1","評価項目１：適用するセキュアコーディングプロセスを定義していること。","S(1)-2.1.2.1.1","最低限/標準","適用する開発言語と開発環境に適したセキュアコーディングの指針、及びツールを定義した資料や情報がある。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.2","開発言語・開発環境に適したセキュアコーディングのためのプロセスを定義していること。","S(1)-2.1.2.1","評価項目１：適用するセキュアコーディングプロセスを定義していること。","S(1)-2.1.2.1.2","標準","定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境が適用されている。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.3","ソフトウェアの利用者向けにデフォルトセキュアな設定を実装するためのプロセスを定義していること。","S(1)-2.1.3.1","評価項目１：適用するデフォルトセキュアプロセスを定義していること。","S(1)-2.1.3.1.1","最低限/標準","ソフトウェアのデフォルト状態を安全な状態とするためのデフォルトセキュアとする指針を定義した資料や情報がある。"]
["S(1)-2.1","セキュア開発プロセスの定義","セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。","S(1)-2.1.3","ソフトウェアの利用者向けにデフォルトセキュアな設定を実装するためのプロセスを定義していること。","S(1)-2.1.3.1","評価項目１：適用するデフォルトセキュアプロセスを定義していること。","S(1)-2.1.3.1.2","標準","ソフトウェアのデフォルト構成を使用可能な形式で保存し、変更を管理するための指針を定義した資料や情報がある。"]
["S(1)-2.2","セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。","S(1)-2.2.1","定義したプロセスに従い、開発に適用するツールを選定していること。","S(1)-2.2.1.1","評価項目１：定義したプロセスに従って、ツールを選定していること。","S(1)-2.2.1.1.1","最低限/標準","実行可能形式のセキュリティを向上させる機能を提供するビルドツールを識別・選定した資料や情報がある。"]
["S(1)-2.2","セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。","S(1)-2.2.1","定義したプロセスに従い、開発に適用するツールを選定していること。","S(1)-2.2.1.1","評価項目１：定義したプロセスに従って、ツールを選定していること。","S(1)-2.2.1.1.2","標準","選定したビルドツールが、識別した脆弱性を軽減することを示す根拠となる資料や情報がある。"]
["S(1)-2.2","セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。","S(1)-2.2.2","定義したプロセスに従い、開発に適用するツールを使用して、承認された構成に基づきビルドしていること。","S(1)-2.2.2.1","評価項目１：定義したプロセスに従って、承認された構成でツールを使用し、実行可能形式をビルドしていること。","S(1)-2.2.2.1.1","最低限/標準","ビルドツールの使用機能と設定オプションを決定し、承認された構成でビルドした結果の資料や情報がある。"]
["S(1)-2.2","セキュアビルド","実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。","S(1)-2.2.2","定義したプロセスに従い、開発に適用するツールを使用して、承認された構成に基づきビルドしていること。","S(1)-2.2.2.1","評価項目１：定義したプロセスに従って、承認された構成でツールを使用し、実行可能形式をビルドしていること。","S(1)-2.2.2.1.3","標準","ビルドツールの真正性と整合性の継続的又は定期的な検証に関する記録が存在する。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","S(1)-2.3.1.1.1","最低限/標準","ソフトウェアの段階に応じて、コードレビュー及び/又は分析方法を選択し、レビューを実施するタイミングと方法を定義した資料や情報がある。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","S(1)-2.3.1.1.2","最低限/標準","コードレビュー及び/又はコード分析により発見された指摘事項の情報管理に関する資料や情報がある。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3.1.1","評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。","S(1)-2.3.1.1.3","標準","コードレビュー及び/又はコード分析のどちらを使用すべきかを、組織の定義に従って決定した資料や情報がある。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","S(1)-2.3.1.2.1","最低限/標準","定義されたタイミングと方法に基づき、コードレビュー及び/又はコード分析を実施した資料や情報がある。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","S(1)-2.3.1.2.2","最低限/標準","必要な場合、サードパーティのコードや社内で再利用するコードに対して、コードレビュー及び/又はコード分析を実施した資料や情報がある。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3.1.2","評価項目２：コードレビュー・分析を実施した記録が存在すること。","S(1)-2.3.1.2.3","標準","ツール（静的コード分析ツールなど）を使用して、コードの脆弱性と組織のセキュアコーディング標準への準拠を点検した資料や情報がある。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3.1.3","評価項目３：コードレビュー・分析結果の検証により発見された問題の根本原因を特定していること。","S(1)-2.3.1.3.1","最低限/標準","コードレビュー及び/又はコード分析の結果を検証し、問題の根本原因を整理・特定した資料や情報がある。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3.2.2","評価項目２：問題の根本原因に対する対応結果を、プロセスにフィードバックした記録が存在すること。","S(1)-2.3.2.2.1","最低限/標準","特定した根本原因を分類し、推奨する改善策と優先度に関する助言とともに、該当するプロセスにフィードバック又は共有した資料や情報がある。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.1","コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。","S(1)-2.3.2.3","評価項目３：問題の根本原因への対応を踏まえ、プロセスを更新した記録が存在すること。","S(1)-2.3.2.3.1","最低限/標準","特定した根本原因への対応を踏まえ、プロセスの定義を変更し、プロセスの実装に反映した資料や情報がある。"]
["S(1)-2.3","検証とフィードバック","レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。","S(1)-2.3.2","特定された指摘事項、及び根本原因に対する対応結果をプロセスへフィードバックし、プロセスを必要に応じて更新していること。","S(1)-2.3.2.1","評価項目１：問題の指摘事項をプロセスにフィードバックした記録が存在すること。","S(1)-2.3.2.1.1","最低限/標準","問題の指摘事項をプロセス（コーディングなど）にフィードバック又は共有した資料や情報がある。"]
["S(1)-2.4","コードベース","レビュー及び分析の対象は、ソースコードのみでなく、可読性があると組織が決定したさまざまな形式のコード（設定ファイル等）も対象とする。","S(1)-2.4.1","コードレビューとコード分析の対象を、組織が可読とみなすあらゆる形式のコードとしていること。","S(1)-2.4.1.1","評価項目１：コードレビュー・分析の対象とするコードベースを漏れなく特定していること。","S(1)-2.4.1.1.1","最低限/標準","組織のセキュアコーディング標準に基づき、コードレビュー及び/又はコード分析の対象とするコードベースを特定している資料や情報がある。"]
["S(1)-2.4","コードベース","レビュー及び分析の対象は、ソースコードのみでなく、可読性があると組織が決定したさまざまな形式のコード（設定ファイル等）も対象とする。","S(1)-2.4.1","コードレビューとコード分析の対象を、組織が可読とみなすあらゆる形式のコードとしていること。","S(1)-2.4.1.1","評価項目１：コードレビュー・分析の対象とするコードベースを漏れなく特定していること。","S(1)-2.4.1.1.2","最低限/標準","必要な場合、サードパーティのコードや組織内で作成した再利用可能なコードをレビュー及び/又は分析の対象とする資料や情報がある。"]
["S(1)-3.1","テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。","S(1)-3.1.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","S(1)-3.1.1.1.1","最低限/標準","脅威モデルに基づくリスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定した、セキュリティテスト計画に関する資料や情報がある。"]
["S(1)-3.1","テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。","S(1)-3.1.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","S(1)-3.1.1.1.2","最低限/標準","必要な場合、セキュリティテストのテスト範囲に、実行可能コードを実行する動的テストを含む資料や情報がある。"]
["S(1)-3.1","テスト計画","脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。","S(1)-3.1.1","通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。","S(1)-3.1.1.1","評価項目１：セキュリティテスト計画が存在すること。","S(1)-3.1.1.1.3","標準","必要な場合、セキュリティテストの対象に、サードパーティの実行可能コードを含む資料や情報がある。"]
["S(1)-3.2","テスト方式","テスト方式には、機能テスト、脆弱性テスト、ファジング、侵入テストなどを含める。","S(1)-3.2.1","機能テスト、脆弱性テスト、ファジング、侵入テスト等から適切なテスト方式を選択していること。","S(1)-3.2.1.1","評価項目１：セキュリティテストのテスト方式を特定していること。","S(1)-3.2.1.1.1","最低限/標準","セキュリティテストのテスト方式として、追加の機能テスト、脆弱性テスト、ファジングテスト、侵入テスト、その他のテスト方式のうち必要なすべてを特定した資料や情報がある。"]
["S(1)-3.3","テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。","S(1)-3.3.1","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","S(1)-3.3.1.1","評価項目１：セキュリティに特化したテスト計画に基づき、テストを設計、実施していること。","S(1)-3.3.1.1.1","最低限/標準","セキュリティテスト計画に基づいて設計・作成したセキュリティテストのテスト仕様・テスト環境の資料や情報がある。"]
["S(1)-3.3","テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。","S(1)-3.3.1","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","S(1)-3.3.1.1","評価項目１：セキュリティに特化したテスト計画に基づき、テストを設計、実施していること。","S(1)-3.3.1.1.2","最低限/標準","セキュリティテスト計画・テスト仕様・テスト環境を使用してセキュリティテストを実施した記録がある。"]
["S(1)-3.3","テスト実施","テスト計画にしたがってテストを設計、実施し、結果を文書化する。","S(1)-3.3.1","テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。","S(1)-3.3.1.2","評価項目２：セキュリティテストの結果を文書化していること。","S(1)-3.3.1.2.1","最低限/標準","セキュリティテストの結果を文書化し、発見した全ての問題を記述した資料や情報がある。"]
["S(1)-3.4","問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。","S(1)-3.4.1","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","S(1)-3.4.1.1.1","最低限/標準","発見した問題、及び検討した対応策の情報管理に関する資料や情報がある。"]
["S(1)-3.4","問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。","S(1)-3.4.1","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","S(1)-3.4.1.1.2","最低限/標準","必要な場合、対応策に対する優先順位付けを実施した資料や情報がある。"]
["S(1)-3.4","問題への対応","テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。","S(1)-3.4.1","発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。","S(1)-3.4.1.1","評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。","S(1)-3.4.1.1.3","最低限/標準","対応策を開発に組み込んで対処した内容に関する資料や情報がある。"]
["S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","S(1)-4.1.1.1","評価項目１：資産管理手順が存在すること。","S(1)-4.1.1.1.1","最低限/標準","システム・サービスの管理すべき資産の対象範囲の特定に関する資料や情報がある。"]
["S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","S(1)-4.1.1.1","評価項目１：資産管理手順が存在すること。","S(1)-4.1.1.1.2","最低限/標準","システム・サービスの資産の管理手順に関する資料や情報がある。"]
["S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","S(1)-4.1.1.2","評価項目２：資産リストが存在すること。","S(1)-4.1.1.2.1","最低限/標準","システム・サービスの資産管理手順に従って整備した資産リストに関する資料や情報がある。"]
["S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","S(1)-4.1.1.3","評価項目３：資産のセキュアな構成を維持していること。","S(1)-4.1.1.3.1","最低限/標準","システム・サービスの資産管理手順に従い、資産リストに含まれる構成が、セキュリティ上の弱点や運用上の問題を含まないセキュアなベースラインを維持していることを示す資料や情報がある。"]
["S(1)-4.1","資産管理","運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。","S(1)-4.1.1","ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。","S(1)-4.1.1.3","評価項目３：資産のセキュアな構成を維持していること。","S(1)-4.1.1.3.2","標準","資産リストのセキュアな構成を維持するために、構成管理・変更管理と連動することを示す資料や情報がある。"]
["S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.1","リスクの影響を軽減するために、システムを適切に分離していること。","S(1)-4.2.1.1","評価項目１：リスクの影響を考慮してシステムを分離していること。","S(1)-4.2.1.1.1","標準","想定リスクに対する運用を考慮した本番運用環境のシステム分離に関する資料や情報がある。"]
["S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.1","リスクの影響を軽減するために、システムを適切に分離していること。","S(1)-4.2.1.1","評価項目１：リスクの影響を考慮してシステムを分離していること。","S(1)-4.2.1.1.2","標準","本番運用環境のシステムは、多層防御を意識した分離構成とする資料や情報がある。"]
["S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.2","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","S(1)-4.2.2.1.1","標準","本番運用環境のシステム内部のセキュリティの運用状況をモニタリングする環境を整備し、ログを生成、分析することを示す資料や情報がある。"]
["S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.2","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","S(1)-4.2.2.1.2","標準","本番運用環境のシステムにおいて、操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出し、対応、回復することを示す資料や情報がある。"]
["S(1)-4.2","モニタリング環境の整備","運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。","S(1)-4.2.2","ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。","S(1)-4.2.2.1","評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。","S(1)-4.2.2.1.3","標準","本番運用環境に展開されたすべてのソフトウェアに新たな脆弱性がないか継続的に監視し、発見された脆弱性にリスクベースで対応することを示す資料や情報がある。"]
["S(1)-4.3","セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。","S(1)-4.3.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","S(1)-4.3.1.1","評価項目１：セキュリティメカニズムを実装していること。","S(1)-4.3.1.1.1","標準","開発者が、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータを保護するために、セキュリティ要件に対応するセキュリティメカニズムをソフトウェアに実装することを示す資料や情報がある。"]
["S(1)-4.3","セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。","S(1)-4.3.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","S(1)-4.3.1.2","評価項目２：セキュリティメカニズムのモニタリング環境を整備していること。","S(1)-4.3.1.2.1","標準","運用者が、モニタリング環境にセキュリティメカニズムの動作状況を監視するための監視機能を実装することを示す資料や情報がある。"]
["S(1)-4.3","セキュリティメカニズムの整備","ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。","S(1)-4.3.1","情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。","S(1)-4.3.1.2","評価項目２：セキュリティメカニズムのモニタリング環境を整備していること。","S(1)-4.3.1.2.2","標準","モニタリング環境の管理は最小権限の原則を実現する構成としている資料や情報がある。"]
["S(1)-4.4","モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。","S(1)-4.4.1","重要なサービスで動作するソフトウェアに適用したメカニズムの動作状況をモニタリングしていること。","S(1)-4.4.1.1","評価項目１：メカニズムの動作状況をモニタリングした記録が存在すること。","S(1)-4.4.1.1.1","最低限/標準","本番運用環境で動作するソフトウェアに実装した重要なメカニズムの動作状況をモニタリングした記録がある。"]
["S(1)-4.4","モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。","S(1)-4.4.2","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施し、評価結果を組織のリスク管理の枠組みに統合していること。","S(1)-4.4.2.1","評価項目１：定期的に実施したセキュリティ評価結果が存在すること。","S(1)-4.4.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施した資料や情報がある。"]
["S(1)-4.4","モニタリングと評価","運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。","S(1)-4.4.2","ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施し、評価結果を組織のリスク管理の枠組みに統合していること。","S(1)-4.4.2.2","評価項目２：セキュリティ評価結果を運用組織のリスク管理の枠組みで対処した記録が存在すること。","S(1)-4.4.2.2.1","最低限/標準","顧客をサポートする運用者としてリスク管理を実施する立場から、運用のリスク管理活動を実施した資料や情報がある。"]
["S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.1","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","S(2)-1.1.1.1","評価項目１：標準化されたセキュリティ機能とサービスを使用するために、組織が定めたセキュリティ要件を定義していること。","S(2)-1.1.1.1.1","最低限/標準","ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。"]
["S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.1","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","S(2)-1.1.1.1","評価項目１：標準化されたセキュリティ機能とサービスを使用するために、組織が定めたセキュリティ要件を定義していること。","S(2)-1.1.1.1.2","最低限/標準","組織が使用することができる標準化された外部サービスに関する組織のセキュリティ要件を定義した資料や情報がある。"]
["S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.1","外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。","S(2)-1.1.1.2","評価項目２：外製ソフトウェアコンポーネントをセキュアに手配するために、組織が定めた要件を定義していること。","S(2)-1.1.1.2.1","最低限/標準","安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための組織の要件を定義した資料や情報がある。"]
["S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.2","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","S(2)-1.1.2.1.1","最低限/標準","外部手配するソフトウェアコンポーネントのセキュアな構成が要件を満たすことを確認した資料や情報がある。"]
["S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.2","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","S(2)-1.1.2.1.2","最低限/標準","利用環境や使用状況に照らして、外部手配するソフトウェアコンポーネントが要件を満たすことをレビュー・評価した結果の資料や情報がある。"]
["S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.2","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","S(2)-1.1.2.1","評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。","S(2)-1.1.2.1.3","標準","ソースコードからソフトウェアコンポーネントをビルドし、利用環境や使用状況を踏まえて安全性を検証・評価した結果の資料や情報がある。"]
["S(2)-1.1","ソフトウェアコンポーネントの手配","外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。","S(2)-1.1.2","定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。","S(2)-1.1.2.2","評価項目２：外製ソフトウェアコンポーネントに関する選定結果が存在すること。","S(2)-1.1.2.2.1","最低限/標準","評価結果に基づき、安全性の高い外製ソフトウェアコンポーネントを選定・取得した資料や情報がある。"]
["S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.1","内製するソフトウェアコンポーネントに対するセキュリティ基準・慣行を、組織が確立していること。","S(2)-1.2.1.1","評価項目１：ソフトウェアコンポーネントの内製化に適用する組織のセキュリティ基準が存在すること。","S(2)-1.2.1.1.1","最低限/標準","外部手配するソフトウェアコンポーネントと同様に、内製するソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。"]
["S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.1","内製するソフトウェアコンポーネントに対するセキュリティ基準・慣行を、組織が確立していること。","S(2)-1.2.1.2","評価項目２：ソフトウェアコンポーネントの内製化に適用する、セキュアなソフトウェア開発に資する組織のセキュリティ慣行を特定していること。","S(2)-1.2.1.2.1","最低限/標準","内製するソフトウェアコンポーネントの開発・維持には、S(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用する資料や情報がある。"]
["S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","S(2)-1.2.2.1","評価項目１：内製ソフトウェアコンポーネントリストが存在すること。","S(2)-1.2.2.1.1","最低限/標準","内製ソフトウェアコンポーネントのリストに関する資料や情報がある。"]
["S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","S(2)-1.2.2.1","評価項目１：内製ソフトウェアコンポーネントリストが存在すること。","S(2)-1.2.2.1.2","標準","内製ソフトウェアコンポーネントを利用するためのリファレンスガイダンスに関する資料や情報がある。"]
["S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","S(2)-1.2.2.2","評価項目２：内製ソフトウェアコンポーネントのセキュアな構成に関する情報を管理・共有していること。","S(2)-1.2.2.2.1","最低限/標準","内製ソフトウェアコンポーネントのセキュアな構成に関する情報を維持管理・共有するための手続きや仕組みに関する資料や情報がある。"]
["S(2)-1.2","ソフトウェアコンポーネントの開発・維持","外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。","S(2)-1.2.2","組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。","S(2)-1.2.2.2","評価項目２：内製ソフトウェアコンポーネントのセキュアな構成に関する情報を管理・共有していること。","S(2)-1.2.2.2.2","標準","必要な場合、ソフトウェアコンポーネントの構成・設定を手動で行うことによるミスを防止する仕組みに関する資料や情報がある。"]
["S(2)-1.3","ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。","S(2)-1.3.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","S(2)-1.3.1.1.1","最低限/標準","組織が承認したソフトウェアコンポーネントを、コンポーネントバージョンの一覧及び、出所情報とともに維持管理する資料や情報がある。"]
["S(2)-1.3","ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。","S(2)-1.3.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","S(2)-1.3.1.1.2","標準","各ソフトウェアコンポーネントの出所情報をシステム又はツールで管理することを示す資料や情報がある。"]
["S(2)-1.3","ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。","S(2)-1.3.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","S(2)-1.3.1.1","評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。","S(2)-1.3.1.1.3","標準","各ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけた管理とする資料や情報がある。"]
["S(2)-1.3","ソフトウェアコンポーネントのリスク評価","各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。","S(2)-1.3.1","ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。","S(2)-1.3.1.2","評価項目２：ソフトウェアコンポーネントの出所情報に基づき、リスク評価した結果が存在すること。","S(2)-1.3.1.2.1","最低限/標準","各ソフトウェアコンポーネントの出所情報に基づき、リスクを評価した結果に関する資料や情報がある。"]
["S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.1","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","S(2)-1.4.1.1","評価項目１：ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果が存在すること。","S(2)-1.4.1.1.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の定期的又は継続的な確認を実施した資料や情報がある。"]
["S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.1","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","S(2)-1.4.1.1","評価項目１：ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果が存在すること。","S(2)-1.4.1.1.2","標準","必要な場合、導入した特定のソフトウェアコンポーネントの既知の公知脆弱性の自動検出をツールチェーンへ組込むことに関する資料や情報がある。"]
["S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.1","ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。","S(2)-1.4.1.2","評価項目２：ソフトウェアコンポーネントに対する未修正の脆弱性情報とその対応結果を管理していること。","S(2)-1.4.1.2.1","最低限/標準","各ソフトウェアコンポーネントの公知脆弱性の確認結果から識別した未修正の脆弱性を除去もしくは低減するために実施した修正・変更を管理する資料や情報がある。"]
["S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.2","各ソフトウェアコンポーネントのサポート期間が、EOLに達していないことを定期的に確認し、サポート期間が終了しているソフトウェアコンポーネント、または近い将来利用できなくなるソフトウェアコンポーネントに対する対応計画を策定していること。","S(2)-1.4.2.1","評価項目１：ソフトウェアコンポーネントのサポート期間（EOL）の定期的な確認結果が存在すること。","S(2)-1.4.2.1.1","最低限/標準","各ソフトウェアコンポーネントのEOLの定期的又は継続的な確認結果に関する資料や情報がある。"]
["S(2)-1.4","ソフトウェアコンポーネントの公知脆弱性の確認","各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。","S(2)-1.4.2","各ソフトウェアコンポーネントのサポート期間が、EOLに達していないことを定期的に確認し、サポート期間が終了しているソフトウェアコンポーネント、または近い将来利用できなくなるソフトウェアコンポーネントに対する対応計画を策定していること。","S(2)-1.4.2.2","評価項目２：ソフトウェアコンポーネントのサポート期間（EOL）及びサポート終了（EOS）に基づく対応計画が存在すること。","S(2)-1.4.2.2.1","最低限/標準","各ソフトウェアコンポーネントのEOL/EOSがこれを導入した対象ソフトウェアの運用期間内である場合、EOL/EOSに基づく対応計画（移行計画を含む）を策定した資料や情報がある。"]
["S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","S(2)-1.5.1.1.1","最低限/標準","ソフトウェアコンポーネントの更新プロセスの定義に関する資料や情報がある。"]
["S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","S(2)-1.5.1.1.2","最低限/標準","更新プロセスとして、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順に関する資料や情報がある。"]
["S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","S(2)-1.5.1.1","評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。","S(2)-1.5.1.1.3","標準","必要な場合、更新するソフトウェアコンポーネントの整合性又は出所情報を検証、及びソースコードからバイナリをビルドして検証する手順に関する資料や情報がある。"]
["S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.1","ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。","S(2)-1.5.1.2","評価項目２：ソフトウェアコンポーネントのバージョン移行を定義したプロセスを導入していること。","S(2)-1.5.1.2.1","最低限/標準","対象ソフトウェアに含まれるソフトウェアコンポーネントの更新時に、定義した更新プロセスを適用した資料や情報がある。"]
["S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.2","導入した各ソフトウェアコンポーネントに存在する発見された対応すべき脆弱性を、当該ソフトウェアコンポーネントのサプライチェーン上で情報共有し、迅速なパッチ適用等により対処すること。","S(2)-1.5.2.1","評価項目１：ソフトウェアコンポーネントの対応すべき脆弱性情報を、サプライチェーン上で共有する手続きが存在すること。","S(2)-1.5.2.1.1","最低限/標準","ソフトウェアコンポーネントの脆弱性（公知脆弱性を含む）に対し、サプライチェーン上で対応することを決定するための手続きに関する資料や情報がある。"]
["S(2)-1.5","ソフトウェアコンポーネントの更新","各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。","S(2)-1.5.2","導入した各ソフトウェアコンポーネントに存在する発見された対応すべき脆弱性を、当該ソフトウェアコンポーネントのサプライチェーン上で情報共有し、迅速なパッチ適用等により対処すること。","S(2)-1.5.2.1","評価項目１：ソフトウェアコンポーネントの対応すべき脆弱性情報を、サプライチェーン上で共有する手続きが存在すること。","S(2)-1.5.2.1.2","最低限/標準","ソフトウェアコンポーネントに対するパッチ適用等の対応に関する情報を、サプライチェーン上で受け渡す手続きに関する資料や情報がある。"]
["S(2)-2.1","コードベースの保護","全ての形式のコードベースを不正アクセスや改ざんから保護するために、リポジトリにコードや設定情報を保管し、承認された担当者、ツール、サービスなどのみがアクセスできるよう最小権限の原則に基づいたアクセス制御を実施する。","S(2)-2.1.1","全ての形式のコードベースをリポジトリに保存し、コードの性質に基づき最小限の原則に基づいてアクセスを制限していること。","S(2)-2.1.1.1","評価項目１：全ての形式のコードベースをリポジトリに保存した記録が存在すること。","S(2)-2.1.1.1.1","最低限/標準","対象ソフトウェアの全てのコードベースのリポジトリに関する資料や情報がある。"]
["S(2)-2.1","コードベースの保護","全ての形式のコードベースを不正アクセスや改ざんから保護するために、リポジトリにコードや設定情報を保管し、承認された担当者、ツール、サービスなどのみがアクセスできるよう最小権限の原則に基づいたアクセス制御を実施する。","S(2)-2.1.1","全ての形式のコードベースをリポジトリに保存し、コードの性質に基づき最小限の原則に基づいてアクセスを制限していること。","S(2)-2.1.1.2","評価項目２：コードの性質に基づいてアクセスを制限していること。","S(2)-2.1.1.2.1","最低限/標準","コードの性質に基づき、承認された担当者、ツール、サービスに絞るなど、コードベースへのアクセスを最小限に制限していることを示す資料や情報がある。"]
["S(2)-2.2","リリースのアーカイブ","リリース後に発見された脆弱性を分析、特定できるようにするために、各ソフトウェアのリリースをアーカイブ化して保護する。","S(2)-2.2.1","ソフトウェアリリース毎に保持が必要なインスタンスを脆弱性分析に活用できるようにアーカイブし、アクセスを制限していること。","S(2)-2.2.1.1","評価項目１：ソフトウェアの各リリースのインスタンスをアーカイブしていること。","S(2)-2.2.1.1.1","最低限/標準","リリース毎に保持が必要なファイルとサポートデータを脆弱性分析に活用できるようにアーカイブすることに関する資料や情報がある。"]
["S(2)-2.2","リリースのアーカイブ","リリース後に発見された脆弱性を分析、特定できるようにするために、各ソフトウェアのリリースをアーカイブ化して保護する。","S(2)-2.2.1","ソフトウェアリリース毎に保持が必要なインスタンスを脆弱性分析に活用できるようにアーカイブし、アクセスを制限していること。","S(2)-2.2.1.2","評価項目２：アーカイブしたインスタンスに対するアクセスを制限していること。","S(2)-2.2.1.2.1","最低限/標準","アーカイブしたインスタンスに対して、データ署名などによる完全性の保証や、最小限のアクセス制限などの保護策を講じることを示す資料や情報がある。"]
["S(2)-2.3","リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。","S(2)-2.3.1","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","S(2)-2.3.1.1","評価項目１：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集・保護する記録が存在すること。","S(2)-2.3.1.1.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの更新とともに、出所情報を収集・更新することに関する資料や情報がある。"]
["S(2)-2.3","リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。","S(2)-2.3.1","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","S(2)-2.3.1.1","評価項目１：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集・保護する記録が存在すること。","S(2)-2.3.1.1.2","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の整合性を保つ仕組みに関する資料や情報がある。"]
["S(2)-2.3","リリースの出所データの共有","各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。","S(2)-2.3.1","ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。","S(2)-2.3.1.2","評価項目２：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を維持管理・共有していること。","S(2)-2.3.1.2.1","最低限/標準","各リリースの全てのソフトウェアコンポーネントの出所情報の記録を維持管理・共有するための手続きや仕組みに関する資料や情報がある。"]
["S(2)-3.1","セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。","S(2)-3.1.1","事業者が外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を、外部調達先との合意事項とし、文書化していること。","S(2)-3.1.1.1","評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を合意事項とした文書が存在すること。","S(2)-3.1.1.1.1","最低限/標準","外部の事業者などからソフトウェアコンポーネントを手配する場合、要求するセキュリティ要件の合意事項を文書化した資料や情報がある。"]
["S(2)-3.1","セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。","S(2)-3.1.2","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","S(2)-3.1.2.1","評価項目１：サプライチェーン・リスクを軽減するためのサプライチェーンセキュリティ要件を定義していること。","S(2)-3.1.2.1.1","最低限/標準","サプライチェーンセキュリティ要件を定義した資料や情報がある。"]
["S(2)-3.1","セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。","S(2)-3.1.2","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","S(2)-3.1.2.2","評価項目２：ソフトウェアコンポーネントの手配プロセスを定義していること。","S(2)-3.1.2.2.1","最低限/標準","外部からソフトウェアコンポーネント又はサービスを手配し取得する側の事業者としての手配プロセスの定義に関する資料や情報がある。"]
["S(2)-3.1","セキュリティ要件の合意","IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。","S(2)-3.1.2","サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。","S(2)-3.1.2.3","評価項目３：定義したソフトウェアコンポーネントの手配プロセスを実施した記録が存在すること。","S(2)-3.1.2.3.1","最低限/標準","供給者からエビデンスを取得し、サプライチェーンセキュリティ要件への対応状況を確認した記録に関する資料や情報がある。"]
["S(2)-3.2","サプライチェーンセキュリティ要求への対応\t","提供するIT 製品又はサービスを受領・取得する組織が採用するサプライチェーンセキュリティ要件と同等のサプライチェーンセキュリティ要件に対応する。","S(2)-3.2.1","IT製品又はサービスを提供する場合、提供先の組織が採用するサプライチェーンセキュリティ要件に対応又は準じていること。","S(2)-3.2.1.1","評価項目１：サプライチェーン・リスクを低減するためのサプライチェーンセキュリティ要件又はこの要件に準じることに合意した記録が存在すること。","S(2)-3.2.1.1.1","標準","提供先の組織が採用するサプライチェーンセキュリティ要件への対応、又はこれに準じることを合意事項とした資料や情報がある。"]
["S(2)-3.3","セキュリティ要件を満たさないリスクへの対処プロセスの整備","受領・取得するサードパーティ製のIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクに対処するプロセスを整備する。","S(2)-3.3.1","事業者が外部手配するソフトウェアコンポーネントとしてのIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクへの対処プロセスを整備していること。","S(2)-3.3.1.1","評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスが満たせないセキュリティ要件がある場合のリスク対処プロセスを定義していること。","S(2)-3.3.1.1.1","標準","外部手配のソフトウェアコンポーネントが提示したセキュリティ要件を満たせない場合のリスク対処プロセスを定義した資料や情報がある。"]
["S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.1","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","S(2)-4.1.1.1","評価項目１：実装したセキュアなデフォルト設定に関する管理者向けガイダンスを文書化し、調達者に提供していること。","S(2)-4.1.1.1.1","最低限/標準","セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む管理者向けガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。"]
["S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.1","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","S(2)-4.1.1.2","評価項目２：ソフトウェアのセキュアな導入・設定・操作・廃棄に関するガイダンスを文書化し、調達者に提供していること。","S(2)-4.1.1.2.1","最低限/標準","ソフトウェアのセキュアな導入・設定（セキュアなデフォルト設定以外も含む）、操作、廃棄を含むガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。"]
["S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.1","セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。","S(2)-4.1.1.2","評価項目２：ソフトウェアのセキュアな導入・設定・操作・廃棄に関するガイダンスを文書化し、調達者に提供していること。","S(2)-4.1.1.2.2","最低限/標準","ソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、継続的に更新したガイダンスを提供することを定めた資料や情報がある。"]
["S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.2","ソフトウェア及びシステム・サービスの提供とともに、製品サポート内容、サポート終了予定日を調達者に継続的に伝達していること。","S(2)-4.1.2.1","評価項目１：製品サポート内容・サポート終了予定日を調達者に継続的に伝達していること。","S(2)-4.1.2.1.1","最低限/標準","ソフトウェア及びシステム・サービスに関して、製品・サービスの販売終了（EOS）/製品・サービスのライフサイクル終了（保守やサポートの終了、EOL）に関する情報を調達者に継続的に提供又は伝達することを定めた資料や情報がある。"]
["S(2)-4.1","セキュアな導入・設定・操作・変更・廃棄・終了","ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.1.2","ソフトウェア及びシステム・サービスの提供とともに、製品サポート内容、サポート終了予定日を調達者に継続的に伝達していること。","S(2)-4.1.2.1","評価項目１：製品サポート内容・サポート終了予定日を調達者に継続的に伝達していること。","S(2)-4.1.2.1.2","標準","ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を、調達者に継続的に提供又は伝達することを定めた資料や情報がある。"]
["S(2)-4.2","整合性検証情報の提供","ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.2.1","供給者から顧客への流通経路においてソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。","S(2)-4.2.1.1","評価項目１：ソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。","S(2)-4.2.1.1.1","最低限/標準","ソフトウェアを配付する際、及び継続的に、ソフトウェアの整合性・完全性が確保されていることを検証するための情報を、ソフトウェア本体とは別の手段で、調達者に提供することを定めた資料や情報がある。"]
["S(2)-4.2","整合性検証情報の提供","ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにする。","S(2)-4.2.2","ソフトウェアのセキュアな配付メカニズムを整備し、その保護対策を実施していること。","S(2)-4.2.2.1","評価項目１：ソフトウェアのセキュアな配付メカニズムを整備していること。","S(2)-4.2.2.1.1","最低限/標準","ソフトウェアを供給者から顧客へセキュアに配付する配付システムの整備に関する資料や情報がある。"]
["S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.1","脆弱性の開示と是正に対処するポリシーを整備していること。","S(3)-1.1.1.1","評価項目１：脆弱性の開示と是正に関するポリシー文書が存在すること。","S(3)-1.1.1.1.1","最低限/標準","脆弱性の開示と是正の基本方針に関する資料や情報がある。"]
["S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.1","脆弱性の開示と是正に対処するポリシーを整備していること。","S(3)-1.1.1.1","評価項目１：脆弱性の開示と是正に関するポリシー文書が存在すること。","S(3)-1.1.1.1.2","標準","脆弱性の開示と是正の基本方針に加えて、脆弱性対応プロセス改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いの各方針に関する資料や情報がある。"]
["S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","S(3)-1.1.2.1","評価項目１：脆弱性対応に関する対応体制を定義していること。","S(3)-1.1.2.1.1","最低限/標準","脆弱性対応に関する担当者を任命していることがわかる資料や情報がある。"]
["S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","S(3)-1.1.2.1","評価項目１：脆弱性対応に関する対応体制を定義していること。","S(3)-1.1.2.1.2","標準","脆弱性対応を専門とする組織体制を設置していることがわかる資料や情報がある。"]
["S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","S(3)-1.1.2.2","評価項目２：脆弱性対応に関する役割と責務を定義していること。","S(3)-1.1.2.2.1","最低限/標準","脆弱性対応に関わる担当者の役割と責務を定義している資料や情報がある。"]
["S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","S(3)-1.1.2.3.1","最低限/標準","脆弱性情報を入手してから対処するまでの一連のプロセスに関する資料や情報がある。"]
["S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","S(3)-1.1.2.3.2","標準","脆弱性対応の一連のプロセスにおける具体的な手順を定義している資料や情報がある。"]
["S(3)-1.1","脆弱性対応体制の設置","ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。","S(3)-1.1.2","脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。","S(3)-1.1.2.3","評価項目３：脆弱性対応に関するプロセスを定義していること。","S(3)-1.1.2.3.3","標準","脆弱性対応演習や脆弱性対応プロセスの見直しに関する資料がある。"]
["S(3)-1.2","コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。","S(3)-1.2.1","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","S(3)-1.2.1.1","評価項目１：脆弱性対応に関するコミュニケーション計画が存在すること。","S(3)-1.2.1.1.1","最低限/標準","脆弱性対応に関する一連のプロセスにおいて、利害関係者とのコミュニケーションに関する資料や情報がある。"]
["S(3)-1.2","コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。","S(3)-1.2.1","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","S(3)-1.2.1.1","評価項目１：脆弱性対応に関するコミュニケーション計画が存在すること。","S(3)-1.2.1.1.2","標準","脆弱性の深刻度に応じた手順やサービスレベルを含む詳細なコミュニケーション計画に関する資料や情報がある。"]
["S(3)-1.2","コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。","S(3)-1.2.1","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","S(3)-1.2.1.2","評価項目２：コミュニケーションチャネルを整備していること。","S(3)-1.2.1.2.1","最低限/標準","外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付けるための連絡先を公開している。"]
["S(3)-1.2","コミュニケーション計画","全ての利害関係者に対するコミュニケーション計画を定める。","S(3)-1.2.1","脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。","S(3)-1.2.1.2","評価項目２：コミュニケーションチャネルを整備していること。","S(3)-1.2.1.2.2","標準","脆弱性情報やセキュリティ勧告を公開する手段を利用者向けに整備している。"]
["S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","S(3)-1.3.1.1","評価項目１：公知の脆弱性情報源及び脅威インテリジェンスの監視結果が存在すること。","S(3)-1.3.1.1.1","最低限/標準","公的もしくは外部サービスとして提供される公知脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関連する脆弱性情報を収集した資料や情報がある。"]
["S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","S(3)-1.3.1.1","評価項目１：公知の脆弱性情報源及び脅威インテリジェンスの監視結果が存在すること。","S(3)-1.3.1.1.2","標準","公知情報源に加え、外部の脅威インテリジェンスサービスや所属するISAC等、複数の情報源から情報を収集した資料や情報がある。"]
["S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","S(3)-1.3.1.2","評価項目２：サプライチェーンからの脆弱性情報を受領した結果が存在すること。","S(3)-1.3.1.2.1","最低限/標準","ソフトウェアコンポーネントの供給元（サプライヤー）から脆弱性情報を受け取った記録がある。"]
["S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.1","ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。","S(3)-1.3.1.3","評価項目３：ソフトウェア調達者及び利用者からの脆弱性情報を受領した結果が存在すること。","S(3)-1.3.1.3.1","最低限/標準","脆弱性対応に関するコミュニケーション計画に則り、脆弱性報告窓口として公開したチャネルから脆弱性情報を収集した資料や情報がある。"]
["S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.2","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","S(3)-1.3.2.1","評価項目１：収集対象のコンポーネントを特定していること。","S(3)-1.3.2.1.1","最低限/標準","ソフトウェアを構成するコンポーネント（特にライブラリなどのサードパーティ製コンポーネント）の名称とバージョンを含む一覧に関する資料や情報がある。"]
["S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.2","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","S(3)-1.3.2.1","評価項目１：収集対象のコンポーネントを特定していること。","S(3)-1.3.2.1.2","標準","コンポーネント構成のトレーサビリティに関する情報の生成・更新プロセスを自動化または半自動化する環境を整備している場合、SBOMなどの標準的な形式の構成情報がある。"]
["S(3)-1.3","脆弱性情報の収集","公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。","S(3)-1.3.2","システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。","S(3)-1.3.2.2","評価項目２：特定したコンポーネント分析から潜在的脆弱性情報を収集した結果が存在する。","S(3)-1.3.2.2.1","最低限/標準","コンポーネントの構成情報を利用した探索・分析に基づき、潜在的脆弱性の有無を確認した資料や情報がある。"]
["S(3)-1.4","未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。","S(3)-1.4.1","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","S(3)-1.4.1.1.1","最低限/標準","リリース後のソフトウェアのコンポーネント構成情報と、収集した公知脆弱性情報とを突合し、影響を受ける可能性のある脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。"]
["S(3)-1.4","未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。","S(3)-1.4.1","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","S(3)-1.4.1.1.2","標準","リリース後のソフトウェアのコンポーネント構成情報と収集した脆弱性情報を活用し、コードとコンポーネントに対するレビュー、分析、テストの複数の手法を用いた、潜在的脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。"]
["S(3)-1.4","未検出の脆弱性の特定","継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。","S(3)-1.4.1","以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。","S(3)-1.4.1.1","評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。","S(3)-1.4.1.1.3","標準","脆弱性を特定・確認するための活動の対象として、ソースコードだけでなく、設定ファイルや実行可能コードも考慮した記録がある。"]
["S(3)-2.1","脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。","S(3)-2.1.1","各脆弱性を分析、是正またはその他のリスク対応計画を検討するための十分な情報を収集していること。","S(3)-2.1.1.1","評価項目１：収集し識別した脆弱性について、リスク分析や対応計画の検討に必要な情報が存在すること。","S(3)-2.1.1.1.1","最低限/標準","収集し識別した脆弱性について、対象ソフトウェアへの影響を判断するために必要な情報を更に収集していることがわかる基本的な資料や情報がある。"]
["S(3)-2.1","脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。","S(3)-2.1.2","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","S(3)-2.1.2.1.1","最低限/標準","収集し特定された脆弱性情報、及びその影響を判断するために収集した情報を前提として、脆弱性の深刻度及び影響の定性的な評価に関する資料や情報がある。"]
["S(3)-2.1","脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。","S(3)-2.1.2","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","S(3)-2.1.2.1.2","標準","CVSS等の標準的な評価基準を用いた深刻度に関する定量的な評価に関する資料や情報がある。"]
["S(3)-2.1","脆弱性の分析","開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。","S(3)-2.1.2","各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。","S(3)-2.1.2.1","評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。","S(3)-2.1.2.1.3","標準","攻撃コードの有無や悪用実績などを考慮して脆弱性がもたらす使用環境における実際のリスクを分析した資料や情報がある。"]
["S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.1","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","S(3)-2.2.1.1","評価項目１：リスク分析・評価の結果に基づく脆弱性への対応方針が存在すること。","S(3)-2.2.1.1.1","最低限/標準","識別した脆弱性に対する対応方針及び優先順位付けに関する資料や情報がある。"]
["S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.1","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","S(3)-2.2.1.1","評価項目１：リスク分析・評価の結果に基づく脆弱性への対応方針が存在すること。","S(3)-2.2.1.1.2","標準","脆弱性の深刻度（CVSS等）や事業への影響度等を考慮したリスク評価に基づく、対応方針の策定根拠に関する資料や情報がある。"]
["S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.1","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","S(3)-2.2.1.2","評価項目２：決定した対応方針に基づく対応計画が存在すること。","S(3)-2.2.1.2.1","最低限/標準","対応方針が決定された脆弱性について、対応計画に関する資料がある。"]
["S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.1","各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。","S(3)-2.2.1.2","評価項目２：決定した対応方針に基づく対応計画が存在すること。","S(3)-2.2.1.2.2","標準","対応の緊急度（例：緊急、高、中、低）に基づく具体的な対応計画に関する資料がある。"]
["S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.2","決定した対応アクションを実施していること。","S(3)-2.2.2.1","評価項目１：識別した脆弱性に対するリスク対応を実施していること。","S(3)-2.2.2.1.1","最低限/標準","識別した脆弱性に対して策定した対応計画に従ってリスク対応を実施したことを示す記録がある。"]
["S(3)-2.2","脆弱性へのリスク対応","開発者は、各脆弱性に対するリスク対応を計画し、実装する。","S(3)-2.2.2","決定した対応アクションを実施していること。","S(3)-2.2.2.2","評価項目２：脆弱性対応の実装後のテスト・検証結果が文書化されていること。","S(3)-2.2.2.2.1","最低限/標準","脆弱性対応の実装後に、その対応内容を確認するためのテスト又は検証を実施した結果に関する資料や情報がある。"]
["S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.1","開発者は、脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告を作成し、ソフトウェアの供給先に提供していること。","S(3)-2.3.1.1","評価項目１：セキュリティ勧告が存在すること。","S(3)-2.3.1.1.1","最低限/標準","脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告に関する資料や情報がある。"]
["S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.1","開発者は、脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告を作成し、ソフトウェアの供給先に提供していること。","S(3)-2.3.1.2","評価項目２：セキュリティ勧告を供給先に提供するプロセスに従って提供していること。","S(3)-2.3.1.2.1","最低限/標準","ソフトウェアの供給先へセキュリティ勧告を提供するための手続があり、それに従って提供した記録がある。"]
["S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.2","脆弱性届出制度に基づいて情報提供を受けた脆弱性については、情報セキュリティ早期警戒パートナーシップガイドラインを踏まえた対応を行っていること。","S(3)-2.3.2.1","評価項目１：脆弱性届出制度から情報提供を受けた際の対応手順が存在すること。","S(3)-2.3.2.1.1","最低限/標準","脆弱性届出制度から情報提供を受けた際の対応について、情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続きに基づく対応手順に関する資料や情報がある。"]
["S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.3","運用者は、セキュリティ勧告にしたがった対策を実施していること。","S(3)-2.3.3.1","評価項目１：セキュリティ勧告の影響評価の結果が存在すること。","S(3)-2.3.3.1.1","最低限/標準","開発者や供給者等から発行されたセキュリティ勧告を受領し、影響評価を行った資料や記録がある。"]
["S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.3","運用者は、セキュリティ勧告にしたがった対策を実施していること。","S(3)-2.3.3.1","評価項目１：セキュリティ勧告の影響評価の結果が存在すること。","S(3)-2.3.3.1.2","標準","代替策の実施やリスク受容等を承認する根拠となる資料や情報がある。"]
["S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.3","運用者は、セキュリティ勧告にしたがった対策を実施していること。","S(3)-2.3.3.2","評価項目２：評価結果に基づく対策の計画と実施結果が存在すること。","S(3)-2.3.3.2.1","最低限/標準","セキュリティ勧告の影響評価の結果に基づく、対策（例：パッチの配備、設定変更）の計画の資料や情報がある。"]
["S(3)-2.3","セキュリティ勧告","開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。","S(3)-2.3.3","運用者は、セキュリティ勧告にしたがった対策を実施していること。","S(3)-2.3.3.2","評価項目２：評価結果に基づく対策の計画と実施結果が存在すること。","S(3)-2.3.3.2.2","標準","運用者として対策を適用する前に、事前検証を実施した記録がある。"]
["S(3)-3.1","根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。","S(3)-3.1.1","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","S(3)-3.1.1.1","評価項目１：脆弱性の根本原因を分析・特定した結果が存在すること。","S(3)-3.1.1.1.1","標準","発見された脆弱性に対して、根本原因を分析・特定した資料や情報がある。"]
["S(3)-3.1","根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。","S(3)-3.1.1","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","S(3)-3.1.1.1","評価項目１：脆弱性の根本原因を分析・特定した結果が存在すること。","S(3)-3.1.1.1.2","標準","根本原因を長期にわたり分析するための情報収集の手続きに関する資料や情報がある。"]
["S(3)-3.1","根本原因の特定","根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。","S(3)-3.1.1","発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。","S(3)-3.1.1.2","評価項目２：脆弱性の発生頻度低減を目的とした活動の計画と実施記録が存在すること。","S(3)-3.1.1.2.1","標準","過去に検出された脆弱性の根本原因分析の結果に基づき、同種の脆弱性を組織内の他のソフトウェアから探索・特定し、同種の脆弱性を排除するための活動を計画・実施した資料や情報がある。"]
["S(3)-3.2","プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。","S(3)-3.2.1","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","S(3)-3.2.1.1","評価項目１：更新したプロセスを定義していること。","S(3)-3.2.1.1.1","標準","根本原因分析に基づき、プロセスや慣行を見直し、更新したプロセスを定義した資料や情報がある。"]
["S(3)-3.2","プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。","S(3)-3.2.1","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","S(3)-3.2.1.2","評価項目２：再発防止策の実装に関する記録が存在すること。","S(3)-3.2.1.2.1","標準","改訂されたプロセスや慣行を、開発者や運用者等の関係者に周知した記録がある。"]
["S(3)-3.2","プロセス改善","ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。","S(3)-3.2.1","今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。","S(3)-3.2.1.2","評価項目２：再発防止策の実装に関する記録が存在すること。","S(3)-3.2.1.2.2","標準","特定した脆弱性の根本原因が再発していないかを継続的に監視している記録がある。"]
["S(4)-1.1","役割と責務の定義","ソフトウェア開発ライフサイクルを網羅する役割と責務を定義する。","S(4)-1.1.1","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義し、ソフトウェア開発・供給・運用の全要員に対して割り当てていること。","S(4)-1.1.1.1","評価項目１：ソフトウェア開発ライフサイクルの全ての役割と責務が定義されていること。","S(4)-1.1.1.1.1","標準","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義した資料がある。"]
["S(4)-1.1","役割と責務の定義","ソフトウェア開発ライフサイクルを網羅する役割と責務を定義する。","S(4)-1.1.1","ソフトウェア開発・供給・運用関連の全ての役割と責務を定義し、ソフトウェア開発・供給・運用の全要員に対して割り当てていること。","S(4)-1.1.1.2","評価項目２：ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていること。","S(4)-1.1.1.2.1","標準","ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていることを示す資料や情報がある。"]
["S(4)-1.2","経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。","S(4)-1.2.1","経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減への認識が高めていること。その上で、セキュア開発に対する経営層のコミットメントを得ていること。","S(4)-1.2.1.1","評価項目１：経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュア開発によるリスク軽減への認識を高める活動を実施した記録が存在すること。","S(4)-1.2.1.1.1","最低限/標準","セキュアな開発・運用について、経営層に報告、あるいは理解を促進するための活動を実施した資料や情報がある。"]
["S(4)-1.2","経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。","S(4)-1.2.1","経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減への認識が高めていること。その上で、セキュア開発に対する経営層のコミットメントを得ていること。","S(4)-1.2.1.2","評価項目２：セキュア開発に対して経営層がコミットしていること。","S(4)-1.2.1.2.1","最低限/標準","セキュアな開発・運用の必要性を可視化しその推進方針等を、経営層が承認した資料や情報がある。"]
["S(4)-1.2","経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。","S(4)-1.2.2","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュア開発・運用に関するコミットメントを周知し、組織にとってのセキュア開発・運用の重要性を教育していること。","S(4)-1.2.2.1","評価項目１：セキュアな開発・運用へのコミットメントを周知していること。","S(4)-1.2.2.1.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュアな開発・運用の推進方針を周知した記録がある。"]
["S(4)-1.2","経営層のコミットメント","全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。","S(4)-1.2.2","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュア開発・運用に関するコミットメントを周知し、組織にとってのセキュア開発・運用の重要性を教育していること。","S(4)-1.2.2.2","評価項目２：組織にとってのセキュア開発の重要性を教育していること。","S(4)-1.2.2.2.1","最低限/標準","ソフトウェア開発・供給・運用の関連役割を持つ全担当者に対する、組織にとってのセキュアな開発・運用の重要性に関する教育の資料や情報がある。"]
["S(4)-1.3","役割と責務の同意","各要員が、役割と責務を認識・同意していることを確認する。","S(4)-1.3.1","セキュアな開発・運用の役割と責務について各要員が理解し、同意しているか確認していること。","S(4)-1.3.1.1","評価項目１：役割と責務について各要員が理解していることを示す記録が存在すること。","S(4)-1.3.1.1.1","標準","セキュアな開発・運用の役割と責務について各要員が理解したことを示す資料や情報が存在すること。"]
["S(4)-1.3","役割と責務の同意","各要員が、役割と責務を認識・同意していることを確認する。","S(4)-1.3.1","セキュアな開発・運用の役割と責務について各要員が理解し、同意しているか確認していること。","S(4)-1.3.1.2","評価項目２：各要員が役割と責務について同意していることを確認した記録が存在すること。","S(4)-1.3.1.2.1","標準","セキュアな開発・運用の役割と責務について各要員が同意することを確認した資料や情報がある。"]
["S(4)-1.4","各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。","S(4)-1.4.1","セキュアな開発・運用のトレーニング計画に、習熟度と役割に応じた目標と成果の測定プロセス、各役割の望ましい結果達成に必要なトレーニングの種類やカリキュラムを含めていること。","S(4)-1.4.1.1","評価項目１：トレーニング計画が存在すること。","S(4)-1.4.1.1.1","標準","セキュアな開発・運用に関する習熟度に応じたトレーニングの目標が定義され、その測定方法、トレーニングカリキュラムに関する資料や情報がある。"]
["S(4)-1.4","各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。","S(4)-1.4.2","全要員に習熟度と役割に応じてトレーニングを提供していること。","S(4)-1.4.2.1","評価項目１：トレーニングコンテンツが存在すること。","S(4)-1.4.2.1.1","標準","セキュアな開発・運用に関するトレーニング計画を実現するためのトレーニングを受講できるように提供している資料や情報があること。"]
["S(4)-1.4","各役割のトレーニング","各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。","S(4)-1.4.2","全要員に習熟度と役割に応じてトレーニングを提供していること。","S(4)-1.4.2.2","評価項目２：トレーニングを提供した記録が存在すること。","S(4)-1.4.2.2.1","標準","セキュアな開発・運用に関するトレーニング計画に基づき、全要員が習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを受講したことに関する記録がある。"]
["S(4)-1.5","役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。","S(4)-1.5.1","全ての役割について環境変化のタイミング、及び定期的にレビューを実施し、新しい役割作成、既存の役割の変更・維持を行っていること。","S(4)-1.5.1.1","評価項目１：新しい役割作成、既存役割の見直しに関する手続きが存在すること。","S(4)-1.5.1.1.1","標準","セキュアな開発運用に関わる定期的又は継続的な役割の見直し手続きが定義された資料や情報がある。"]
["S(4)-1.5","役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。","S(4)-1.5.1","全ての役割について環境変化のタイミング、及び定期的にレビューを実施し、新しい役割作成、既存の役割の変更・維持を行っていること。","S(4)-1.5.1.2","評価項目２：新しい役割作成、既存役割の見直した記録が存在すること。","S(4)-1.5.1.2.1","標準","レビューに基づく、セキュアな開発・運用に関わる新しい役割の設定や既存の役割の変更に関する記録がある。"]
["S(4)-1.5","役割とトレーニングの見直し","役割やトレーニングは定期的に見直す。","S(4)-1.5.2","トレーニング効果を測定し、トレーニングの変更が有益となる可能性のある領域を特定した上で、要員の習熟度と役割ベースのトレーニングを、必要に応じて更新していること。","S(4)-1.5.2.1","評価項目１：トレーニングプログラムを更新した記録が存在すること。","S(4)-1.5.2.1.1","標準","トレーニング効果の測定結果の分析に基づき、セキュアな開発・運用に関わるトレーニングプログラムを更新した記録がある。"]
["S(4)-2.1","ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-2.1.1","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-2.1.1.1","評価項目１：ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わるセキュリティ要件を特定した方針が存在すること。","S(4)-2.1.1.1.1","最低限/標準","ソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。"]
["S(4)-2.1","ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-2.1.1","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-2.1.1.1","評価項目１：ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わるセキュリティ要件を特定した方針が存在すること。","S(4)-2.1.1.1.2","標準","SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。"]
["S(4)-2.1","ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-2.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","S(4)-2.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","S(4)-2.1.2.1.1","最低限/標準","ソフトウェア開発の観点から、事業に関連する主要な法規制をリストした資料や情報がある。"]
["S(4)-2.1","ソフトウェア開発ポリシーの定義","ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-2.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","S(4)-2.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","S(4)-2.1.2.1.2","標準","ソフトウェア開発の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。"]
["S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。","S(4)-2.2.1","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-2.2.1.1","評価項目１：開発ソフトウェアに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","S(4)-2.2.1.1.1","最低限/標準","開発するソフトウェアに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。"]
["S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。","S(4)-2.2.1","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-2.2.1.1","評価項目１：開発ソフトウェアに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","S(4)-2.2.1.1.2","標準","開発するソフトウェアに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。"]
["S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。","S(4)-2.2.1","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-2.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","S(4)-2.2.1.2.1","最低限/標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。"]
["S(4)-2.2","ソフトウェア・セキュリティポリシーの定義と維持","組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。","S(4)-2.2.1","開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-2.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","S(4)-2.2.1.2.2","標準","開発するソフトウェアに適用するセキュリティ要件を規定したポリシーについて定期的又は継続的にレビューを実施した記録がある。"]
["S(4)-2.3","費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。","S(4)-2.3.1","経営層が、セキュア開発によるリスク軽減とコスト、影響を理解し、適切な予算を確保していること。","S(4)-2.3.1.2",0,"S(4)-2.3.1.1.1","最低限/標準","ソフトウェア開発に関わるセキュリティ活動のための予算が承認されていることを示す記録がある。"]
["S(4)-2.3","費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。","S(4)-2.3.1","経営層が、セキュア開発によるリスク軽減とコスト、影響を理解し、適切な予算を確保していること。","S(4)-2.3.1.2",0,"S(4)-2.3.1.1.2","標準","セキュリティ対策の必要性、コスト、影響を踏まえたセキュア開発方針に関する予算が承認されていることを示す記録がある。"]
["S(4)-2.3","費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。","S(4)-2.3.2","経営層を含む関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債につながることを共通の経営リスクとして認識していること。","S(4)-2.3.2.1","評価項目１：脆弱性の放置リスクの概念が組織内で理解・共有されていること。","S(4)-2.3.2.1.1","最低限/標準","経営層やプロジェクト責任者が、脆弱性の放置が将来のコスト増に繋がることをリスクとして認識していることを示す資料や情報がある。"]
["S(4)-2.3","費用認識の共有と予算化","ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。","S(4)-2.3.2","経営層を含む関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債につながることを共通の経営リスクとして認識していること。","S(4)-2.3.2.1","評価項目１：脆弱性の放置リスクの概念が組織内で理解・共有されていること。","S(4)-2.3.2.1.2","標準","脆弱性放置のリスクに関する、全社的なセキュリティ教育や開発者向けトレーニング等の啓発活動の資料や情報がある。"]
["S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-3.1.1","運用者が、SDLC全体を通じたソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.1.1.1","評価項目１：ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びプロセスに関わるセキュリティ要件を特定した方針が存在すること。","S(4)-3.1.1.1.1","最低限/標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。"]
["S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-3.1.1","運用者が、SDLC全体を通じたソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.1.1.1","評価項目１：ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びプロセスに関わるセキュリティ要件を特定した方針が存在すること。","S(4)-3.1.1.1.2","標準","ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。"]
["S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-3.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","S(4)-3.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","S(4)-3.1.2.1.1","最低限/標準","ソフトウェア運用の観点から、事業に関連する主要な法規制をリストした資料や情報がある。"]
["S(4)-3.1","ソフトウェアサービス運用ポリシーの定義","ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。","S(4)-3.1.2","国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。","S(4)-3.1.2.1","評価項目１：遵守すべき外部要件を特定していること。","S(4)-3.1.2.1.2","標準","ソフトウェア運用の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。"]
["S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","S(4)-3.2.1.1.1","最低限/標準","ソフトウェアを適用したサービスに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。"]
["S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","S(4)-3.2.1.1.2","最低限/標準","サービス運用者としてのセキュリティ責任範囲を定義した資料がある。"]
["S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","S(4)-3.2.1.1.3","標準","ソフトウェア及びこれを適用したサービスに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。"]
["S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.2.1.1","評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。","S(4)-3.2.1.1.4","標準","責任共有モデルに基づき、自社及び関連事業者側の責任範囲と顧客側の責任範囲を定義し、ポリシーに反映するとともに、顧客に開示した資料や情報がある。"]
["S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","S(4)-3.2.1.2.1","最低限/標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。"]
["S(4)-3.2","サービスのセキュリティポリシーの定義と維持","ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。","S(4)-3.2.1","ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。","S(4)-3.2.1.2","評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。","S(4)-3.2.1.2.2","標準","ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関して定期的又は継続的にレビューを実施した記録がある。"]
["S(4)-3.3","運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。","S(4)-3.3.1","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を実施していること。","S(4)-3.3.1.1","評価項目１：サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを監査していること。","S(4)-3.3.1.1.1","標準","品質保証部門やセキュリティ部門など、担当部門から独立した組織がサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることについて監査を実施することを示す資料や情報がある。"]
["S(4)-3.3","運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。","S(4)-3.3.2","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を通じて検出された指摘に対応することで、ガバナンスの確立を図っていること。","S(4)-3.3.2.1","評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。","S(4)-3.3.2.1.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査報告書にて指摘事項を記録し、指摘事項に対して根本原因分析を行い、担当部門が是正対応を行っている記録がある。"]
["S(4)-3.3","運用ポリシーに基づく監査","ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。","S(4)-3.3.2","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を通じて検出された指摘に対応することで、ガバナンスの確立を図っていること。","S(4)-3.3.2.2","評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。","S(4)-3.3.2.2.1","標準","サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。"]
["S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.1","ソフトウェアセキュリティ確認基準を定義していること。","S(4)-4.1.1.1","評価項目１：ソフトウェアのセキュリティ確認基準を定義していること。","S(4)-4.1.1.1.1","最低限/標準","ソフトウェアのリリースと運用継続の可否を判断するための最低限のソフトウェアのセキュリティ確認基準を定めた資料や情報がある。"]
["S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.1","ソフトウェアセキュリティ確認基準を定義していること。","S(4)-4.1.1.1","評価項目１：ソフトウェアのセキュリティ確認基準を定義していること。","S(4)-4.1.1.1.2","標準","組織のセキュリティ目標に基づき、SDLCの各フェーズのセキュリティチェック基準として、複数の定量的・定性的な指標を定義した資料や情報がある。"]
["S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.2","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","S(4)-4.1.2.1","評価項目１：セキュリティ確認基準と、そのリスク管理効果との関連性を特定している資料や情報がある。","S(4)-4.1.2.1.1","最低限/標準","最低限のセキュリティ確認基準（S(4)-4.1.1）のリスク管理効果に関する資料や情報がある。"]
["S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.2","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","S(4)-4.1.2.1","評価項目１：セキュリティ確認基準と、そのリスク管理効果との関連性を特定している資料や情報がある。","S(4)-4.1.2.1.2","標準","セキュリティ確認基準とセキュリティリスクの管理効果に関する資料や情報がある。"]
["S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.2","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","S(4)-4.1.2.2","評価項目２：SDLC全体にわたって、セキュリティ確認基準を活用していること。","S(4)-4.1.2.2.1","最低限/標準","開発・運用のライフサイクルプロセスにおいて、最低限のセキュリティ確認基準（S(4)-4.1.1）の測定結果がある。"]
["S(4)-4.1","セキュリティ確認基準の定義と追跡","ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。","S(4)-4.1.2","ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。","S(4)-4.1.2.2","評価項目２：SDLC全体にわたって、セキュリティ確認基準を活用していること。","S(4)-4.1.2.2.2","標準","SDLCの各フェーズにおいて、測定したセキュリティ確認基準を判断材料として活用している記録がある。"]
["S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。","S(4)-4.2.1","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集するプロセス、メカニズム、ツール等を実装していること。","S(4)-4.2.1.1","評価項目１：確認基準を測定するためのデータを収集するプロセス、メカニズムやツールを実装していること。","S(4)-4.2.1.1.1","最低限/標準","セキュリティ確認基準（S(4)-4.1.1）を測定するためのデータの収集手順に関する資料や情報がある。"]
["S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。","S(4)-4.2.1","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集するプロセス、メカニズム、ツール等を実装していること。","S(4)-4.2.1.1","評価項目１：確認基準を測定するためのデータを収集するプロセス、メカニズムやツールを実装していること。","S(4)-4.2.1.1.2","標準","セキュアな開発・運用のプロセスに各種セキュリティツールを統合し、開発・運用アクションに関する測定データを収集する仕組みに関する資料や情報がある。"]
["S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。","S(4)-4.2.2","収集情報へのアクセスを承認された担当者に限定し、意図しない情報変更や削除を防止していること。","S(4)-4.2.2.1","評価項目１：収集された測定データに対するアクセス制御を実施していること。","S(4)-4.2.2.1.1","最低限/標準","セキュリティ確認基準への準拠チェック用に収集されるデータを保管するリポジトリやツールへのアクセス制限を適用している。"]
["S(4)-4.2","セキュリティ確認基準に基づく意思決定のサポート","セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。","S(4)-4.2.2","収集情報へのアクセスを承認された担当者に限定し、意図しない情報変更や削除を防止していること。","S(4)-4.2.2.1","評価項目１：収集された測定データに対するアクセス制御を実施していること。","S(4)-4.2.2.1.2","標準","セキュリティ確認基準への準拠チェック用に収集されるデータの変更・削除に関する監査ログを取得し、意図しない変更を検知・追跡している。"]
["S(4)-4.3","セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。","S(4)-4.3.1","セキュリティ確認基準への適合に関わる監査体制とプロセスを整備していること。","S(4)-4.3.1.1","評価項目１：セキュリティ確認基準の遵守状況を監査する体制を整備していること。","S(4)-4.3.1.1.1","標準","担当部門から独立した組織がセキュリティ確認基準への適合に関わる監査を実施することを示す資料や情報がある。"]
["S(4)-4.3","セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。","S(4)-4.3.2","セキュリティ上の確認基準への適合に関する監査を通じて検出された指摘に対応することで、セキュアなソフトウェアとそのための開発・運用プロセスを定期的又は継続的に改善していること。","S(4)-4.3.2.1","評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。","S(4)-4.3.2.1.1","標準","セキュリティ確認基準への適合に関わる監査報告書にて指摘事項を記録し、指摘事項に対して、担当部門が是正対応を行っている記録がある。"]
["S(4)-4.3","セキュリティ確認基準に基づく監査","セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。","S(4)-4.3.2","セキュリティ上の確認基準への適合に関する監査を通じて検出された指摘に対応することで、セキュアなソフトウェアとそのための開発・運用プロセスを定期的又は継続的に改善していること。","S(4)-4.3.2.2","評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。","S(4)-4.3.2.2.1","標準","セキュリティ確認基準への適合に関わる監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。"]
["S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.1","ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクを軽減するため、ツールチェーン内のカテゴリを定義し、各カテゴリで使用する必須ツールを指定していること。","S(4)-5.1.1.1","評価項目１：リスク評価に基づき、導入すべきツールのカテゴリを定義していること。","S(4)-5.1.1.1.1","最低限/標準","高リスク要因に対処するため、開発・運用プロセスで使用するセキュリティツールのカテゴリを定めた資料や情報がある。"]
["S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.1","ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクを軽減するため、ツールチェーン内のカテゴリを定義し、各カテゴリで使用する必須ツールを指定していること。","S(4)-5.1.1.1","評価項目１：リスク評価に基づき、導入すべきツールのカテゴリを定義していること。","S(4)-5.1.1.1.2","標準","ソフトウェア開発・運用のリスク分析結果に基づき、プロジェクトのリスクレベルや特性に応じて導入すべきツールのカテゴリをライフサイクル全体にわたり定めた資料や情報がある。"]
["S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.2","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","S(4)-5.1.2.1","評価項目１：ツールチェーンの構成と連携方法を定義していること。","S(4)-5.1.2.1.1","最低限/標準","主要な開発・運用フェーズで連携させるツール群の構成を定義した資料や情報がある。"]
["S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.2","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","S(4)-5.1.2.1","評価項目１：ツールチェーンの構成と連携方法を定義していること。","S(4)-5.1.2.1.2","標準","ツールチェーン全体のアーキテクチャと統合方法に関する資料や情報がある。"]
["S(4)-5.1","ツールとツールチェーンの指定","特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。","S(4)-5.1.2","特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。","S(4)-5.1.2.2","評価項目２：ツールチェーンを、開発者・運用者のプロセス及びワークフローに統合していること。","S(4)-5.1.2.2.1","標準","ツールチェーンを開発・運用のプロセスとワークフローに統合していること。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.1","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","S(4)-5.2.1.1","評価項目１：導入するツールのセキュリティを評価した記録が存在すること。","S(4)-5.2.1.1.1","最低限/標準","導入するツールに既知の重大な脆弱性がないことを確認した記録がある。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.1","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","S(4)-5.2.1.1","評価項目１：導入するツールのセキュリティを評価した記録が存在すること。","S(4)-5.2.1.1.2","標準","組織のポリシーに従い、導入するツールについて、提供元の信頼性評価やツールのセキュリティ評価を実施した記録がある。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.1","組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。","S(4)-5.2.1.2","評価項目２：ツールとツールチェーンのセキュアな構成とその配備の方法を特定していること。","S(4)-5.2.1.2.1","標準","組織のセキュリティポリシーに基づく、ツールとツールチェーンのセキュリティ堅牢化及び、配備に関する資料や情報がある。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","S(4)-5.2.2.1","評価項目１：ツールチェーンの構成が、意図せず変更されていないことの監視記録が存在すること。","S(4)-5.2.2.1.1","最低限/標準","ツールチェーンの重要な設定項目について、定期的又は継続的なレビュー記録がある。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","S(4)-5.2.2.1","評価項目１：ツールチェーンの構成が、意図せず変更されていないことの監視記録が存在すること。","S(4)-5.2.2.1.2","標準","構成管理ツール等を用いて、ツールの設定変更を管理し、特定したセキュアな構成からの逸脱を検知・通知している。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","S(4)-5.2.2.2","評価項目２：ツールチェーンの運用状況を、セキュリティの観点から監視していることを示す記録が存在すること。","S(4)-5.2.2.2.1","最低限/標準","ツールチェーンにおいて、本番環境への無許可アクセス等の重大なポリシー違反を検知するための記録が存在している。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","S(4)-5.2.2.2","評価項目２：ツールチェーンの運用状況を、セキュリティの観点から監視していることを示す記録が存在すること。","S(4)-5.2.2.2.2","標準","ツールチェーンにおいて、収集したログを分析し、検知すべき異常な振る舞いやポリシー違反を検知するための監視ルールを実装している。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","S(4)-5.2.2.3","評価項目３：検知された問題への対応を実施していること。","S(4)-5.2.2.3.1","最低限/標準","ツールチェーンにおいて、重大なポリシー違反を検知した際に、担当者が対応する手順に関する資料や情報がある。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.2","ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。","S(4)-5.2.2.3","評価項目３：検知された問題への対応を実施していること。","S(4)-5.2.2.3.2","標準","ツールチェーンにおいて、検知したイベントへの一連の対応プロセスと、過去の対応記録に関する資料や情報がある。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.3","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","S(4)-5.2.3.1","評価項目１：ツールの脆弱性情報を定期的又は継続的に評価していること。","S(4)-5.2.3.1.1","最低限/標準","利用しているツールに既知の重大な脆弱性がないことを定期的又は継続的に確認した記録がある。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.3","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","S(4)-5.2.3.1","評価項目１：ツールの脆弱性情報を定期的又は継続的に評価していること。","S(4)-5.2.3.1.2","標準","組織のポリシーに従い、利用しているツールのセキュリティの評価を定期的又は継続的に実施する手順がある。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.3","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","S(4)-5.2.3.2","評価項目２：ツールを必要に応じてアップデートしていること。","S(4)-5.2.3.2.1","最低限/標準","ツールに重大な脆弱性が発見された場合、パッチ適用やバージョンアップを実施した記録がある。"]
["S(4)-5.2","ツールとツールチェーンの配備・運用・保守","セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。","S(4)-5.2.3","組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。","S(4)-5.2.3.2","評価項目２：ツールを必要に応じてアップデートしていること。","S(4)-5.2.3.2.2","標準","自組織の開発プロセスの見直し、もしくは新しいツール機能にあわせてツールを評価し、必要に応じてツールを更新、アップグレード、または交換する手順がある。"]
["S(4)-5.3","ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。","S(4)-5.3.1","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","S(4)-5.3.1.1.1","最低限/標準","ソースコードリポジトリにおいて、誰が、いつ、どのコードを変更したかに関する記録がある。"]
["S(4)-5.3","ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。","S(4)-5.3.1","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","S(4)-5.3.1.1.2","標準","一連の開発・運用アクションが追跡可能な形で記録されるようにツールチェーンを構成していることを示す記録がある。"]
["S(4)-5.3","ツール構成と証跡生成","組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。","S(4)-5.3.1","セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。","S(4)-5.3.1.1","評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。","S(4)-5.3.1.1.3","標準","開発・運用アクションに関する監査証跡のアクセス制御に関わる資料や情報がある。"]
["S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","S(4)-6.1.1.1.1","最低限/標準","ソフトウェア開発の各環境の基本的な構成や管理状況に関する資料や情報がある。"]
["S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","S(4)-6.1.1.1.2","標準","目的やリスクレベルに応じて各環境間の分離と保護の方式が定義され、分離と保護を実施していることを示す資料や情報がある。"]
["S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","S(4)-6.1.1.1","評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。","S(4)-6.1.1.1.3","標準","ソフトウェア開発の各フェーズで使用される環境ごとのデータの保護方針を示す資料や情報がある。"]
["S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","S(4)-6.1.1.2.1","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツールの脆弱性を監視し対処する手続きに関する資料や情報がある。"]
["S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","S(4)-6.1.1.2.2","最低限/標準","ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツール・対策の構成変更に関する記録がある。"]
["S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","S(4)-6.1.1.2.3","標準","ソフトウェア開発の各フェーズで使用される環境間の分離と保護状態のチェックに関する記録がある。"]
["S(4)-6.1","環境の分離保護","ソフトウェア開発に関係する各環境を分離して保護する。","S(4)-6.1.1","ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。","S(4)-6.1.1.2","評価項目２：分離・保護された各環境が、維持・管理されていること。","S(4)-6.1.1.2.4","標準","ソフトウェア開発の各フェーズで使用される環境について、監視を通じてサイバーインシデントを検出し、インシデントから回復する手順に関する資料や情報がある。"]
["S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.1","開発環境及び開発用エンドポイントの保護・強化方法を選定するために、リスク分析を実施していること。","S(4)-6.2.1.1","評価項目１：開発環境及び開発用エンドポイントに対するリスク分析の結果が存在すること。","S(4)-6.2.1.1.1","最低限/標準","ソフトウェアの設計者、開発者、テスター、ビルダー向けなどの開発環境及び開発用エンドポイントにおける一般的な脅威を識別し、リスク評価を実施した記録がある。"]
["S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.1","開発環境及び開発用エンドポイントの保護・強化方法を選定するために、リスク分析を実施していること。","S(4)-6.2.1.1","評価項目１：開発環境及び開発用エンドポイントに対するリスク分析の結果が存在すること。","S(4)-6.2.1.1.2","標準","開発環境及び開発用エンドポイントにおける開発者の行動や利用シナリオを想定した具体的な脅威シナリオに基づき、詳細なリスク分析を実施した記録がある。"]
["S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","S(4)-6.2.2.1","評価項目１：リスク分析に基づき、保護・強化方法を特定していること。","S(4)-6.2.2.1.1","最低限/標準","開発環境及び開発用エンドポイントに導入すべき基本的なセキュリティ対策の方針や基準を定めた資料や情報がある。"]
["S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","S(4)-6.2.2.1","評価項目１：リスク分析に基づき、保護・強化方法を特定していること。","S(4)-6.2.2.1.2","標準","リスク評価の結果に基づき、開発環境及び開発用エンドポイントからアクセスするリソース、また開発環境及び開発用エンドポイントに導入すべきセキュリティ対策の方針や基準を定めた資料や情報がある。"]
["S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","S(4)-6.2.2.2","評価項目２：開発環境及び開発用エンドポイントに対するセキュリティ対策を実施していること。","S(4)-6.2.2.2.1","最低限/標準","開発環境及びエンドポイントの基本的なセキュリティ対策を実施していることを示す資料や情報がある。"]
["S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","S(4)-6.2.2.2","評価項目２：開発環境及び開発用エンドポイントに対するセキュリティ対策を実施していること。","S(4)-6.2.2.2.2","標準","開発環境およびエンドポイントの堅牢化と監視を定期的又は継続的に運用している記録がある。"]
["S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","S(4)-6.2.2.3","評価項目３：開発環境及び開発用エンドポイントで発生したインシデントへの対応プロセスが整備・運用されていること。","S(4)-6.2.2.3.1","最低限/標準","開発環境及び開発用エンドポイントでのインシデント発生時の報告・対応手順に関する資料や情報がある。"]
["S(4)-6.2","開発用エンドポイントの保護","リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。","S(4)-6.2.2","リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。","S(4)-6.2.2.3","評価項目３：開発環境及び開発用エンドポイントで発生したインシデントへの対応プロセスが整備・運用されていること。","S(4)-6.2.2.3.2","標準","インシデント発生時に、手順に則って対応（封じ込め、調査、復旧）した記録がある、または対応訓練の実施に関する記録がある。"]
["S(5)-1.1","情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。","S(5)-1.1.1","ソフトウェア及びサービスに関連する法的要件、業界標準及び、ベストプラクティスに適合した、情報連携を実施するためのポリシーを整備していること。","S(5)-1.1.1.1","評価項目１：ポリシー文書が存在していること。","S(5)-1.1.1.1.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針に関する資料や情報がある。"]
["S(5)-1.1","情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。","S(5)-1.1.1","ソフトウェア及びサービスに関連する法的要件、業界標準及び、ベストプラクティスに適合した、情報連携を実施するためのポリシーを整備していること。","S(5)-1.1.1.2","評価項目２：情報連携に関するポリシーと外部要件との適合性を確認していること。","S(5)-1.1.1.2.1","標準","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針の内容が、関連する外部要件に準拠していることを確認した記録がある。"]
["S(5)-1.1","情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。","S(5)-1.1.2","組織のポリシーに基づき、役割・プロセスを整備していること。","S(5)-1.1.2.1","評価項目１：情報連携を担う役割を定義していること。","S(5)-1.1.2.1.1","標準","外部からの脆弱性報告等の情報受付と外部への情報発信に関する役割を定めた資料や情報がある。"]
["S(5)-1.1","情報連携のための組織体制の構築","ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。","S(5)-1.1.2","組織のポリシーに基づき、役割・プロセスを整備していること。","S(5)-1.1.2.2","評価項目２：情報連携の具体的なプロセスを定義していること。","S(5)-1.1.2.2.1","標準","外部から情報を受け取った際、または自社から情報を発信する際の基本的な対応手順に関する資料や情報がある。"]
["S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.1","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","S(5)-1.2.1.1","評価項目１：関係ベンダーへの情報提供チャネルを実装していること。","S(5)-1.2.1.1.1","最低限/標準","関係ベンダーに提供しているセキュリティ情報がある。"]
["S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.1","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","S(5)-1.2.1.1","評価項目１：関係ベンダーへの情報提供チャネルを実装していること。","S(5)-1.2.1.1.2","標準","情報連携を実施するためのポリシーに基づき、関係ベンダー毎に、適切な情報提供チャネルを用意し、情報提供チャネルごとの情報を入手する方法に関する資料や情報があること。"]
["S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.1","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","S(5)-1.2.1.2","評価項目２：必要なセキュリティ関連情報をサプライチェーンに提供していること。","S(5)-1.2.1.2.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報に関して公開している資料や情報がある。"]
["S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.1","顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。","S(5)-1.2.1.2","評価項目２：必要なセキュリティ関連情報をサプライチェーンに提供していること。","S(5)-1.2.1.2.2","標準","脆弱性情報に加え、製品のセキュアな利用方法や業界固有の脅威情報等に関して提供先の特性に応じて公開している資料や情報がある。"]
["S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.2","連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報を明確に定義していること。","S(5)-1.2.2.1","評価項目１：連携するセキュリティ関連情報の種類を定義していること。","S(5)-1.2.2.1.1","最低限/標準","自社が関連する緊急度の高い脆弱性情報を連携対象として定義した資料や情報がある。"]
["S(5)-1.2","重要なセキュリティ関連情報の提供","業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。","S(5)-1.2.2","連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報を明確に定義していること。","S(5)-1.2.2.1","評価項目１：連携するセキュリティ関連情報の種類を定義していること。","S(5)-1.2.2.1.2","標準","脆弱性情報に加え、脅威情報、インシデント情報、製品のセキュアな設定・運用に関するベストプラクティスなど提供対象とすべき重要情報を定義した資料や情報がある。"]
["S(5)-1.3","脆弱性情報の通知サービスの利用","効率的に脆弱性情報の共有を図るため、脆弱性情報の通知サービスを利用する。","S(5)-1.3.1","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みを活用し、サプライチェーンでの脆弱性情報共有の仕組みを構築していること。","S(5)-1.3.1.1","評価項目１：外部の公式な情報連携制度・仕組みに参加していること。","S(5)-1.3.1.1.1","最低限/標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）に参加していること。"]
["S(5)-1.3","脆弱性情報の通知サービスの利用","効率的に脆弱性情報の共有を図るため、脆弱性情報の通知サービスを利用する。","S(5)-1.3.1","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みを活用し、サプライチェーンでの脆弱性情報共有の仕組みを構築していること。","S(5)-1.3.1.2","評価項目２：外部の公式な情報連携制度・仕組みを活用した情報共有（受信・発信）のプロセスを整備していること。","S(5)-1.3.1.2.1","標準","当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）から取り込んだ脆弱性情報等をS(5)-1.2の活動に活用した資料や情報がある。"]
["S(5)-2.1","協力体制の活用","ソフトウェアの製品及びサービスのセキュリティを改善するために、外部の事業者、顧客、及び専門機関が参加するソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(5)-2.1.1","ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析する業界団体やコミュニティへ参加していること。","S(5)-2.1.1.1","評価項目１：自社の事業に関連するセキュリティコミュニティに参加している記録が存在すること。","S(5)-2.1.1.1.1","最低限/標準","少なくとも一つのセキュリティに関わる業界団体やコミュニティに参加した記録がある。"]
["S(5)-2.1","協力体制の活用","ソフトウェアの製品及びサービスのセキュリティを改善するために、外部の事業者、顧客、及び専門機関が参加するソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(5)-2.1.1","ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析する業界団体やコミュニティへ参加していること。","S(5)-2.1.1.1","評価項目１：自社の事業に関連するセキュリティコミュニティに参加している記録が存在すること。","S(5)-2.1.1.1.2","標準","事業領域や技術領域に応じて、セキュリティに関わる複数の適切な業界団体やコミュニティに自組織として参加している記録がある。"]
["S(5)-2.2","協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。","S(5)-2.1.2","業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し、ソフトウェア製品及びサービスのセキュリティに関する知識・スキルを向上させる等自組織の取組に活用していること。","S(5)-2.1.2.1","評価項目１：コミュニティ活動で得た情報を自社のセキュリティ対策に活用していること。","S(5)-2.1.2.1.1","最低限/標準","業界団体やコミュニティの活動で得たセキュリティに関わる情報を、社内関係者に共有した記録がある。"]
["S(5)-2.2","協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。","S(5)-2.2.1","業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","S(5)-2.1.2.1","評価項目１：コミュニティ活動で得た情報を自社のセキュリティ対策に活用していること。","S(5)-2.1.2.1.2","標準","業界団体やコミュニティから得たセキュリティに関わる情報を基に、自社のセキュリティ対策への影響を評価、もしくは対策を更新した記録がある。"]
["S(5)-2.2","協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。","S(5)-2.2.1","業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","S(5)-2.2.1.1","評価項目１：コミュニティの運営や活動に積極的に関与していること。","S(5)-2.2.1.1.1","最低限/標準","自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて業界団体やコミュニティへ公表した記録がある。"]
["S(5)-2.2","協力体制への貢献","コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。","S(5)-2.2.1","業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。","S(5)-2.2.1.2",0,"S(5)-2.2.1.1.2","標準","業界団体やコミュニティ活動の推進に関する積極的な関与に関する資料や情報がある。"]
["S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.1","顧客がオーナーシップを持つシステム全体及びソフトウェアのリスク管理に対して顧客自身が責任を持ち、独立した主体的な取組を実施していること。","S(6)-1.1.1.1","評価項目１：リスク管理の責任について経営層のコミットメントを得ていること。","S(6)-1.1.1.1.1","最低限/標準","オーナーシップを持つシステム及びソフトウェアのリスク管理の責任について（顧客の）経営層がコミットしていること。"]
["S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.1","顧客がオーナーシップを持つシステム全体及びソフトウェアのリスク管理に対して顧客自身が責任を持ち、独立した主体的な取組を実施していること。","S(6)-1.1.1.2","評価項目２：リスク管理を独立かつ主体的に実施していること。","S(6)-1.1.1.2.1","最低限/標準","システム及びソフトウェアのリスク管理を（顧客が）独立かつ主体的に実施している資料や情報がある。"]
["S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.2","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","S(6)-1.1.2.1.1","最低限/標準","リスク管理上重要な事業者と、明確な責任分担と契約に基づきリスク管理を実施している資料や情報がある。"]
["S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.2","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","S(6)-1.1.2.1.2","標準","ソフトウェア・システムを調達する場合、顧客と供給者のセキュリティに関する責任を明確にし、透明性の高い事業者を優先的に採用したことを示す資料や情報がある。"]
["S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.2","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","S(6)-1.1.2.1.3","標準","システム運用・保守サービスを利用する場合、運用・保守委託先事業者と、インシデント対応・脆弱性対応・役割分担を含む契約を締結したことを示す資料や情報がある。"]
["S(6)-1.1","リスク管理","顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。","S(6)-1.1.2","ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。","S(6)-1.1.2.1","評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。","S(6)-1.1.2.1.4","標準","クラウドサービスを利用する場合、責任共有モデルに基づいて顧客と供給者のセキュリティに関する責任を明確にし、透明性の高いクラウド事業者を優先的に採用したことを示す資料や情報がある。"]
["S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","S(6)-1.2.1.1.1","最低限/標準","導入ソフトウェアのセキュリティ確保のための要件/基準と検証方法を定め、契約（締結済み又は締結予定の）事業者にエビデンスを要求したことを示す資料や情報がある。"]
["S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","S(6)-1.2.1.1.2","最低限/標準","導入ソフトウェアの更新ポリシー及びサポート期限に基づく運用計画及び体制に関する資料や情報がある。"]
["S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","S(6)-1.2.1.1.3","最低限/標準","導入ソフトウェアの既知の脆弱性への対処や緩和策を主体的に実施するための方針及び担当割当に関する資料や情報がある。"]
["S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","S(6)-1.2.1.1","評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。","S(6)-1.2.1.1.4","標準","主体的取組を促進するための自組織の管理体制、関連事業者とのコミュニケーションパスを整備している資料や情報がある。"]
["S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","S(6)-1.2.1.2","評価項目２：既存の脆弱性や緩和策への主体的な取組に関する記録が存在すること。","S(6)-1.2.1.2.1","最低限/標準","導入ソフトウェアの脆弱性に対して主体的に対処した記録がある。"]
["S(6)-1.2","リソース整備","既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。","S(6)-1.2.1","導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。","S(6)-1.2.1.2","評価項目２：既存の脆弱性や緩和策への主体的な取組に関する記録が存在すること。","S(6)-1.2.1.2.2","標準","導入ソフトウェアの脆弱性に対して契約（締結済み又は締結予定の）事業者と協力して対処した記録がある。"]
["S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","S(6)-1.3.1.1.1","標準","導入ソフトウェアのセキュリティに関する情報を得るためのチャネル参加に関する資料や情報がある。"]
["S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","S(6)-1.3.1.1.2","標準","ソフトウェアセキュリティに関するコミュニティや協力体制への参加に関する資料や情報がある。"]
["S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","S(6)-1.3.1.1","評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。","S(6)-1.3.1.1.3","標準","コミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善した記録がある。"]
["S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","S(6)-1.3.1.2","評価項目２：コミュニティに対して積極的に貢献していること。","S(6)-1.3.1.2.1","標準","コミュニティへのリソース提供、及び支援活動への参加に関する資料や情報がある。"]
["S(6)-1.3","協力体制の活用","ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。","S(6)-1.3.1","ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。","S(6)-1.3.1.2","評価項目２：コミュニティに対して積極的に貢献していること。","S(6)-1.3.1.2.2","標準","コミュニティに対して提供したセキュリティ改善への貢献が見込まれる資料や情報がある。"]
["S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","S(6)-2.1.1.1.1","最低限/標準","ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義した資料がある。"]
["S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","S(6)-2.1.1.1.2","標準","セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義した資料がある。"]
["S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","S(6)-2.1.1.1","評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。","S(6)-2.1.1.1.3","標準","当局や信頼できる外部組織が整備したプロファイルに基づいて、ソフトウェアのセキュリティ要件を定義した資料がある。"]
["S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","S(6)-2.1.1.2","評価項目２：セキュリティ要件を調達・導入前に事業者に提示していること。","S(6)-2.1.1.2.1","最低限/標準","RFPとして、定義したセキュリティ要件を提示した資料や情報がある。"]
["S(6)-2.1","セキュリティ要件の定義","ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。","S(6)-2.1.1","ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。","S(6)-2.1.1.2","評価項目２：セキュリティ要件を調達・導入前に事業者に提示していること。","S(6)-2.1.1.2.2","標準","RFIとして、定義したセキュリティ要件を提示した資料や情報がある。"]
["S(6)-2.2","セキュリティ慣行の要求開示","ソフトウェアの調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示する。","S(6)-2.2.1","サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示していること。","S(6)-2.2.1.1","評価項目１：セキュリティ慣行の要求を整備していること。","S(6)-2.2.1.1.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルト慣行に力点を置いた調達（購入）基準を整備した資料や情報がある。"]
["S(6)-2.2","セキュリティ慣行の要求開示","ソフトウェアの調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示する。","S(6)-2.2.1","サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示していること。","S(6)-2.2.1.2","評価項目２：セキュリティ慣行の要求を調達・導入前に開示していること。","S(6)-2.2.1.2.1","最低限/標準","ソフトウェア調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示した資料や情報がある。"]
["S(6)-2.3","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。","S(6)-2.3.1","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","S(6)-2.3.1.1","評価項目１：調達・導入前にリスク評価を行うことを義務付けたポリシーが存在すること。","S(6)-2.3.1.1.1","最低限/標準","ソフトウェアの調達・導入前に、事業者に必要な資料や情報を要求し、業務特性を踏まえたリスクに基づくセキュリティ評価を実施することを定めたポリシーに関する資料や情報がある。"]
["S(6)-2.3","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。","S(6)-2.3.1","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","S(6)-2.3.1.2","評価項目２：セキュリティ慣行を保証する事業者を優先するポリシーが存在すること。","S(6)-2.3.1.2.1","最低限/標準","セキュアバイデザイン・セキュアバイデフォルトの慣行に力点を置いた調達（購入）基準に基づき、ソフトウェアの調達・導入を優先するポリシーに関する資料や情報がある。"]
["S(6)-2.3","リスク評価に基づく意思決定","ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。","S(6)-2.3.1","適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。","S(6)-2.3.1.3","評価項目３：ポリシーに基づくリスク判断を行い、ソフトウェアの調達・導入を実施していること。","S(6)-2.3.1.3.1","最低限/標準","ポリシーに従い、ソフトウェア調達・導入の意思決定に必要なリスク判断を正式に文書化し、経営者が承認した資料や情報がある。"]
["S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","S(6)-2.4.1.1","評価項目１：サイバーセキュリティに関する残存リスク軽減の方策を検討していること。","S(6)-2.4.1.1.1","最低限/標準","自組織のリスク分析に基づきソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定した資料や情報がある。"]
["S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","S(6)-2.4.1.2","評価項目２：リスク軽減策の実施に必要な予算の申請手続が存在すること。","S(6)-2.4.1.2.1","最低限/標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算要求に関する記録がある。"]
["S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","S(6)-2.4.1.2","評価項目２：リスク軽減策の実施に必要な予算の申請手続が存在すること。","S(6)-2.4.1.2.2","標準","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算の申請手続に関する資料や情報がある。"]
["S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","S(6)-2.4.1.3","評価項目３：予算とリソースが確保されていること。","S(6)-2.4.1.3.1","最低限/標準","セキュリティ活動のための予算が承認されていることを示す記録がある。"]
["S(6)-2.4","予算確保","ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。","S(6)-2.4.1","ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。","S(6)-2.4.1.3","評価項目３：予算とリソースが確保されていること。","S(6)-2.4.1.3.2","標準","中長期的なセキュリティ対策方針に基づいた予算が経営方針として示された資料や情報がある。"]

{"sheet":"用語集","index":16,"n_rows":11,"n_cols":3,"rows_kept":11,"cut":false,"hidden":false,"merged":[]}
[]
[null,"用語","評価チェックリストを活用する上での補足説明"]
[null,"アーカイブ","リリース後に発見された脆弱性を分析・特定するために、各リリースのソフトウェアの実体および関連データ（完全性に関する検証情報、出所情報など）を保存・保管すること。改ざんや不正アクセスからの保護が必要とされる。"]
[null,"継続的","開発・運用するソフトウェアのリスクレベルや特性に応じて、組織が定めた頻度（例：年次、四半期毎、リリース毎、新たな脅威や技術環境の変化のタイミング、常時など）での実施を念頭におく。"]
[null,"経営層","組織のガバナンスと意思決定に責任を持つ経営トップや上級マネジメントのこと。セキュアな開発・運用の方針承認、リソース確保、リスク受容等の重要な意思決定に対し、主体的に責任を負う。"]
[null,"高リスク要因","ソフトウェア開発・運用プロセスにおいて、脆弱性の混入やインシデント発生につながる可能性が高いリスクの源泉のこと。これらを特定し、手続きやツール活用等により対処することが求められる。"]
[null,"高リスク領域","ソフトウェア製品やシステムにおいて、特にセキュリティリスクが高いと識別される機能やデータ領域のこと。具体例として、機密データ保護、クレデンシャル管理を含む識別・認証、アクセス制御などが挙げられる。"]
[null,"ツールチェーン","ソフトウェアの開発・運用プロセスにおいて、ソースコード管理、ビルド、テスト、デプロイなどの各工程を自動化し、相互に連携させるために構成された一連のツール群のこと。"]
[null,"プロテクションプロファイル","特定の製品カテゴリに求められるセキュリティ機能や保証要件をまとめた文書のこと。ISO/IEC 15408等の国際標準で用いられ、ソフトウェア調達や開発におけるセキュリティ要件定義の根拠や基準として参照することを想定する。"]
[null,"プロファイル","当局や信頼できる外部組織が整備した基準や要件セットのこと。本評価ガイドにおいては、ソフトウェア製品やシステムのセキュリティ要件を定義する際に参照される。ソフトウェアが具備すべきセキュリティ要件を定義する際の根拠や基準となるもの。"]
[null,"プラクティス","ソフトウェアのセキュリティ確保・向上のために組織や開発者が実施すべき標準的または推奨される活動、手順、慣行のこと。セキュアコーディングの慣行などが含まれる。"]

{"sheet":"S(1)-1.1.1.1.1","index":17,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスク評価に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアにおけるセキュリティリスクを識別するために、リスク分析・評価の手続き整備し、その手続きに基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、実施済みの評価方法に関する検討結果など、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■リスク評価の手続き、及び結果のドキュメント\n・リスク分析・評価を実施可能とするための手続き（規程、実施手順など）\n・ソフトウェア、及び扱うデータの識別・分類とそのリスク判定結果\n・リスク有りと判定したソフトウェアコンポーネントやデータに対する対応策の検討結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのセキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスクの分析・評価の結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.1"}]

{"sheet":"S(1)-1.1.1.1.2","index":18,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの高リスク領域に関する詳細なリスク評価を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのうち、高リスク領域を対象としたセキュリティリスクを識別するために、高リスク領域の特性を踏まえた詳細なリスク分析・評価を行う手続きを整備し、その手続きに基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n高リスク領域も含む共通の詳細なリスク分析・評価の手続き・結果となっている場合、高リスク領域を識別する必要はない。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該高リスク領域の特性を踏まえたリスク分析・評価に適用される手続きや、実施済みの評価方法に関する検討結果など、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■リスク評価の手続き、及び結果のドキュメント\n・高リスク領域の識別（例：機密データ保護、クレデンシャル管理を含む識別・認証、アクセス制御の保護など）・分類とリスク判定結果\n・リスク有りと判定した高リスク領域のソフトウェアコンポーネントやデータに対する対応策の検討結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのセキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスクの分析・評価の結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.1"}]

{"sheet":"S(1)-1.1.1.2.1","index":19,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクモデル（脅威モデル、攻撃モデル）に基づく分析手法を適用している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェアにおけるセキュリティリスクを識別するために、ソフトウェアの特性に合致したリスクモデルを採用し、リスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価に適用するリスクモデルの採用に関する検討状況など、評価の段階で確認できるドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■リスク分析・評価方法に関する検討結果のドキュメント\n・採用したリスクモデル（脅威モデル、攻撃モデルなど）に基づくリスク分析・評価の実施計画、及び実施結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのセキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：リスクの分析・評価の手法が特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.1"}]

{"sheet":"S(1)-1.1.1.2.2","index":20,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.1.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク分析の専門家と共同で作成したリスクモデルを適用している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェアにおけるセキュリティリスクを識別するために、必要に応じてリスク分析の専門家と共同でリスク分析・評価を計画・準備し、その計画に基づいてリスク分析・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの特性や実装方式を鑑み、リスク分析の専門家の協力を得る必要がないと判断する場合は、理由を記載しN/Aとする。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■リスク分析・評価方法に関する検討結果のドキュメント\n・必要に応じて、専門家によるリスクモデルの検討結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのセキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするセキュリティリスクベースの分析・評価を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：リスクの分析・評価の手法が特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.1"}]

{"sheet":"S(1)-1.1.2.1.1","index":21,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのセキュリティリスク分析・評価に基づいた、リスクの緩和策や例外措置に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアのリスクベースの分析・評価の結果に基づき、セキュリティリスクの緩和策（リスクを低減するための対策方針）、及び必要な場合は例外措置（リスクを条件付きで受容）を検討することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティリスクの分析・評価に基づく対応策のドキュメント\n・セキュリティリスクの緩和策（対策方針）\n・必要な場合、セキュリティリスクに対する緩和策、例外措置"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのセキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2"}]

{"sheet":"S(1)-1.1.2.1.2","index":22,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティリスクの緩和策の達成手段に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェア対して、リスクベースの分析・評価の結果に基づき、セキュリティリスクを低減するための緩和策の達成手段を検討することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティリスクの分析・評価に基づく対応策の検討に関するドキュメント\n・セキュリティリスクの緩和策の達成手段（例：ソフトウェアの機能、使用法又は環境条件による制約事項）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのセキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2"}]

{"sheet":"S(1)-1.1.2.1.3","index":23,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.1.2.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティリスクに対する例外措置が存在する場合、その例外措置を承認する際の根拠となる資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスに構成されるソフトウェア対して、リスクベースの分析・評価の結果に基づき、セキュリティリスクの緩和策や例外措置を検討し、リスクを条件付きで受容する例外処置を採用する場合は、その例外措置を正式な手続きに基づいて承認するための根拠（許容できるリスクと判断したことの根拠）を明らかにすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価の実施前と考えられる）、当該リスク分析・評価と対応策検討の手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティリスクの分析・評価に基づく対応策の検討に関するドキュメント\n・セキュリティリスクに対する例外措置の根拠（例：リスク軽減、移転、保持の効果判定）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのセキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティリスク分析・評価の結果に基づく対応を検討していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2"}]

{"sheet":"S(1)-1.1.2.2.1","index":24,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.1.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティリスクの緩和策の達成手段を実現するためのソフトウェアのセキュリティ要件を定義した資料がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発するソフトウェア製品、あるいはシステム・サービスを構成するソフトウェアに対して、リスクベースの分析・評価の結果に基づき、検討したセキュリティリスクの緩和策（対策方針）の達成手段を実現するためのソフトウェアのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク分析・評価に基づくセキュリティ要件の定義前と考えられる）、当該セキュリティ要件の定義や設計上の決定に適用する手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアのセキュリティ要件を定義したドキュメント\n・ソフトウェアの機能に関するセキュリティ要件\n・使用法又は環境条件となるセキュリティ要件"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのセキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスに対して、リスクベースの分析・評価を実施し、緩和策となるセキュリティ要件を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェア、あるいはシステム・サービスを構成するソフトウェアを対象とするリスクベースの分析・評価の結果に基づき、セキュリティリスクを緩和するセキュリティ要件を定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.1.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアのセキュリティ要件を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2"}]

{"sheet":"S(1)-1.2.1.1.1","index":25,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計がセキュリティ要件を満たすことが確認できるレビューの観点及び方法を適用している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの設計が、定義した全てのセキュリティ要件を満たすことが確認できる設計レビューの観点及び方法を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■設計レビュー方針のドキュメント\n・設計レビューの観点（例：セキュリティ要件に対する設計の充足性）\n・設計レビューの方法（例：ピアレビュー、リードレビュー、ウォークスルー、有資格者によるレビュー、ツールチェーンに組み込まれた自動化されたプロセスによるレビュー）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計レビュー"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：設計レビューの観点と方法を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.2.1"}]

{"sheet":"S(1)-1.2.1.1.2","index":26,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計がセキュリティリスクの緩和に効果があることが確認できるレビューの観点及び方法を適用している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n識別されたセキュリティリスクや脆弱性へのソフトウェア設計上の対応が適切であり（ソフトウェアの特性や開発環境に対して合理的な設計レビューの計画を立て、所定の期間で実施可能であること）、かつセキュリティリスクの緩和に効果があること（セキュリティ要件への対応状況、及び識別したリスクへの対応状況が設計レビューにより確認可能な方法であること）が確認できる設計レビューの観点及び方法を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■設計レビュー方針のドキュメント\n・設計レビューの観点（例：アーキテクチャの有効性、重要コードの仕様に対する準拠性、識別された脆弱性への対応、識別されたセキュリティリスクへの対応）\n・設計レビューの方法（例：ピアレビュー、リードレビュー、ウォークスルー、有資格者によるレビュー、ツールチェーンに組み込まれた自動化されたプロセスによるレビュー）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計レビュー"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：設計レビューの観点と方法を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.2.1"}]

{"sheet":"S(1)-1.2.1.2.1","index":27,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定した設計レビューの観点及び方法に基づいて設計レビューを実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの設計が、定義した全てのセキュリティ要件を満たすこと、識別されたセキュリティリスクや脆弱性への設計上の対応が適切であることを確認するために、選定した設計レビューの観点及び方法に従って設計レビューを実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、組織が定めた設計レビュー方針、及び設計レビューの手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■設計レビューの計画、及び結果のドキュメント\n・設計レビューに適用した方針（観点及び方法）に基づく具体的な設計レビュー計画\n・セキュリティ要件への対応に関する設計レビュー結果\n・セキュリティリスクへの対応に関する設計レビュー結果\n・設計レビュー指摘事項"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計レビュー"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全てのセキュリティ要件を満たし、リスクに対応していることを確認するために、ソフトウェアの設計の観点（アーキテクチャの妥当性、脆弱性の有無等）から、ピアレビュー、リードレビュー、ウォークスルー等の適切な方法でレビューを実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：設計レビューの結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.2.1"}]

{"sheet":"S(1)-1.2.2.1.1","index":28,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計における設計レビューの指摘事項等の結果を反映するために、設計の修正を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n対象とするソフトウェア設計の設計レビュー結果を反映し、設計修正を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、当該設計レビュー結果の反映時に適用する手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■設計修正の履歴及び修正内容のドキュメント\n・設計レビューの指摘事項に対応した設計修正の履歴、及び修正内容"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計レビュー"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計において、レビュー結果を設計修正やリスク対応の変更等として反映していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：設計レビュー結果に基づいた設計修正の対応記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.2.1"}]

{"sheet":"S(1)-1.2.2.2.1","index":29,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.2.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計レビュー結果を反映するために、設計修正以外にリスク対応戦略を変更する必要が生じた場合、そのリスク対応戦略の変更を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n対象とするソフトウェア設計の設計レビュー結果を反映するために、設計修正以外に、リスクモデルやリスク分析・評価方法の変更に関する検討を行い、リスク対応戦略を変更することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該設計レビューの実施前と考えられる）、当該設計レビュー結果の反映時に適用する手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■リスク対応戦略の変更の検討結果のドキュメント\n・リスクモデルの変更、及び/又はリスク分析・評価方法の変更に伴うリスク対処に関する検討結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計レビュー"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの設計のレビューを通じて、全てのセキュリティ要件を満たし、識別されたリスク情報に十分に対応していることを確認し、レビュー結果を反映する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計において、レビュー結果を設計修正やリスク対応の変更等として反映していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.2.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：設計レビュー結果に基づいたリスク対応戦略の変更に関する記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.2.1"}]

{"sheet":"S(1)-1.3.1.1.1","index":30,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義されたソフトウェアのセキュリティ要件に基づくソフトウェアのリスク対応活動において証拠として利用可能な、設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びとそれらの根拠に関する記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n定義されたソフトウェアのセキュリティ要件に基づく設計上の決定事項、リスク緩和策の達成手段、承認された例外措置、及びそれらの根拠を記録することで、ソフトウェアライフサイクル全体のリスク管理活動において活用可能とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示す記録をエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク対応活動の実施前と考えられる）、当該リスク対応活動記録の維持管理・共有に適用する手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■リスク対応活動で活用可能とするソフトウェアの設計に係る記録\n・設計上の決定事項とその根拠に関する記録\n・ソフトウェアが関係するリスク緩和策の達成手段とその根拠に関する記録\n・ソフトウェアが関係する例外措置とその、根拠、及び承認履歴に関する記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク対応記録"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計上の決定事項、リスクへの対応、承認された例外措置に関する記録を保持し、ソフトウェアのライフサイクル全体を通じて監査や保守の目的で使用できるように維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計上の決定事項、リスク軽減の達成方法、承認された例外措置に関する記録をソフトウェアライフサイクル全体を通じて監査・保守目的で使用されるよう維持管理・共有していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアの設計に関係するリスク対応活動の記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2"}]

{"sheet":"S(1)-1.3.1.2.1","index":31,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのリスク対応活動に関する記録を、ソフトウェアライフサイクル全体で維持管理し、監査や保守の活動で活用可能とするための手続きや仕組みに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発するソフトウェアに係るリスク対応活動の記録を、ソフトウェアライフサイクル全体で維持管理するために必要な手続きや仕組みを整備するとともに、開発するソフトウェアに係る監査や保守の活動においても活用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該リスク対応活動の実施前と考えられる）、当該リスク対応活動記録の維持管理・共有に適用する手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■リスク対応活動記録の維持管理・共有に関するドキュメント\n・リスク対応活動記録を維持管理するための手段・仕組み\n・ソフトウェアのリスク対応活動記録を設計者及び関連担当者（監査者、保守担当者など）間で共有するための手段・仕組み\n・ソフトウェアのリスク対応活動の記録が監査や保守の目的で利用された証拠となる記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク対応記録"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計上の決定事項、リスクへの対応、承認された例外措置に関する記録を保持し、ソフトウェアのライフサイクル全体を通じて監査や保守の目的で使用できるように維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"設計上の決定事項、リスク軽減の達成方法、承認された例外措置に関する記録をソフトウェアライフサイクル全体を通じて監査・保守目的で使用されるよう維持管理・共有していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：リスク対応活動の記録を維持管理・共有していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2"}]

{"sheet":"S(1)-1.4.1.1.1","index":32,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.4.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクモデルの妥当性、及びリスク分析・評価結果に基づくセキュリティリスクの緩和策、及び例外処置の妥当性に関する定期的なレビューの手続き、及び結果に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、採用したリスクモデルの定期的なレビューを実施し、リスクモデルの妥当性を確認すること、及びリスク分析・評価の結果の定期的なレビューを実施し、セキュリティリスクの緩和策、及び例外処置の妥当性を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクモデルの定期的な確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■リスクモデル、及びリスク分析・評価のレビュー手続き、及びレビュー結果のドキュメント\n・リスクモデル、及びリスク分析・評価結果の定期的なレビューに関する手続き\n・リスクモデルのレビュー結果（例：リスクモデルの見直し等の指摘事項）\n・リスク分析・評価結果のレビュー結果（例：リスク分析・評価の再確認等の指摘事項）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースの定期的確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスク分析・評価結果の定期的なレビュー結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2、PW.2.1"}]

{"sheet":"S(1)-1.4.1.2.1","index":33,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.4.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、採用したリスクモデル、及びリスク分析・評価結果の定期的なレビューの結果を踏まえて、セキュリティリスクの緩和策の達成手段であるソフトウェア設計がセキュリティリスクの対処方法として妥当であることを確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの分析・評価結果の定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■定期的なセキュリティリスクの対処方法の確認結果のドキュメント\n・セキュリティリスクの緩和策の確認結果（例：緩和策の見直し等の指摘事項）\n・セキュリティリスクの例外措置の確認結果（例：例外措置の見直し等の指摘事項）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースの定期的確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティリスクの対処方法の定期的な確認結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2、PW.2.1"}]

{"sheet":"S(1)-1.4.1.2.2","index":34,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.4.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、セキュリティ要件に対するソフトウェアの設計への反映を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの設計がセキュリティリスクの対処方法として妥当であることの定期的な確認の結果、リスク環境の変化等が及ぼす影響等を踏まえ、セキュリティ要件を満たすために必要と判断した場合、リスク対処のためのソフトウェア設計を見直すことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの分析・評価結果の定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■設計修正の履歴及び修正内容のドキュメント\n・（必要な場合）定期的なセキュリティリスクの対処方法の確認結果に対応したソフトウェアの設計修正の履歴、及び修正内容"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースの定期的確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"採用したリスクモデルに基づく設計時のリスク分析・評価結果を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認し、必要に応じてソフトウェア設計に反映していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティリスクの対処方法の定期的な確認結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2、PW.2.1"}]

{"sheet":"S(1)-1.4.2.1.1","index":35,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.4.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件に対する例外処置がセキュリティリスクの対処方法として妥当であることの定期的な確認結果に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nリスク環境の変化等が及ぼす影響を考慮するために、セキュリティ要件に対する例外処置の定期的な確認を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■定期的な例外措置の確認結果のドキュメント\n・セキュリティリスクに対する例外処置、根拠（例：リスク軽減、移転、保有の効果判定）の再評価結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースの定期的確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件に対する全ての例外処置を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：例外処置によるリスクの対処方法の定期的な確認結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2"}]

{"sheet":"S(1)-1.4.2.1.2","index":36,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-1.4.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、セキュリティ要件に対する例外処置によるセキュリティリスクへの対処方法の変更を承認し、変更を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nセキュリティ要件に対する例外処置の定期的な確認の結果、リスク環境の変化等が及ぼす影響を考慮する必要があると判断した場合、セキュリティリスクへの対処方法を見直し、その変更を承認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n開発するソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該ソフトウェア設計に係るリスク対応活動の実施前と考えられる）、当該リスクベースの定期的確認に適用される手続きなど、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■定期的な例外措置の確認結果のドキュメント\n・（必要な場合）リスク対処方法の変更の承認履歴\n・（必要な場合）リスク対処方法の変更を実施した変更履歴、及び変更内容（例：セキュリティリスクに対する見直された例外処置、セキュリティリスク緩和策となるソフトウェア設計の修正）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースの定期的確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件に対して承認された全ての例外とソフトウェア設計、及びソフトウェアの設計時に作成したリスクベースの分析・評価結果をレビューし、リスクへの対処が適切か定期的に確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件に対する全ての例外処置を定期的にレビューし、セキュリティリスクへの対処方法の妥当性を確認していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-1.4.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：例外処置によるリスクの対処方法の定期的な確認結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.2"}]

{"sheet":"S(1)-2.1.1.1.1","index":37,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適用する開発言語・開発環境に、ビルド時に組み込まれるおそれのある脆弱性が含まれないことをチェックする手続きに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発に適用する開発言語や開発環境自体、もしくはそれらをビルドで使用する際に、ビルド時に組み込まれるおそれのある脆弱性が含まれていないことをチェックすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性チェック手続きのドキュメント\n・ツール（開発言語・開発環境など）に関連する脆弱性を事前にチェックする手続き（例：リリースノート等に記載された禁止された使用法、適用すべきパッチに関連する脆弱性、ビルド時の中間生成物や成果物に影響を与える脆弱性（メモリセーフ機能や暗号機能の誤使用等）、使用時に考慮すべき脆弱性（依存ライブラリやツール自身の脆弱性等）など）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュア開発プロセスの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：適用する開発言語・開発環境が関連する脆弱性をチェックしていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1、PW.6.1"}]

{"sheet":"S(1)-2.1.1.2.1","index":38,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発言語・開発環境の選定・更新の手続き、選定基準、更新基準に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発言語や開発環境を選定・更新する際に適用する手続き、及び基準を定めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールの選定・更新プロセスに関するドキュメント\n・開発に使用するツールの選定・更新に関する手続き\n・ツールの選定・更新に関連する基準の定義"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュア開発プロセスの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：開発言語・開発環境の選定・更新プロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1、PW.6.1"}]

{"sheet":"S(1)-2.1.1.3.1","index":39,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.1.1.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適用する開発言語・開発環境において、実装に影響を与えるオプション設定を含む使用法に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、開発言語や開発環境を使用する際に、ソフトウェアの実装に影響を与える開発言語や開発環境のオプションを正しく設定することを含む使用法を定め、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアビルドプロセスを定義したドキュメント\n・ツールの使用法（実装に依存するオプションの定義を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュア開発プロセスの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：適用するセキュアビルドプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1、PW.6.1"}]

{"sheet":"S(1)-2.1.1.3.2","index":40,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.1.1.3.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適用する開発言語・開発環境を使用することにより、識別した脆弱性がビルド時に組み込まれることを回避できる手続きに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、識別した脆弱性がビルド時に組み込まれることを回避できる手続きを採用することにより、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアビルドプロセスを定義したドキュメント\n・ツールの利用手続き（ビルド方法、ビルド実施タイミングを含む）\n・ツールの利用に関するトレーニングプログラム\n・（適用している場合）DevOpsあるいはDevSecOpsの各工程を自動化するツール等によるツールチェーンを適用した開発環境の利用手続き"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュア開発プロセスの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：適用するセキュアビルドプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1、PW.6.1"}]

{"sheet":"S(1)-2.1.1.3.3","index":41,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.1.1.3.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ビルドツールを導入・更新するための変更管理手続き、ツールの真正性と整合性を継続的又は定期的に検証する手続き、及びこれらの実施体制に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nテスト実施前に脆弱性を排除することでソフトウェアの実行可能形式のセキュリティを向上させるために、ビルドツールを導入・更新するための変更管理手続き、ビルドツールの真正性（信頼できる正しいツールであること）と整合性（ツールに改ざんや破損がないこと）を継続的又は定期的に検証する手続きを整備するとともに、これらの手続きを実施するための体制を整備することにより、セキュアなビルドプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアビルドプロセスを定義したドキュメント\n・ツールの導入・更新に関する変更管理手続き・ツールの真正性と整合性の継続的又は定期的な検証に関する手続き\n・ツールの導入・更新、検証の手続きを実施する体制"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュア開発プロセスの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発言語や開発環境が関連する脆弱性をチェックし、これらの脆弱性が組み込まれないセキュアビルドプロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：適用するセキュアビルドプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1、PW.6.1"}]

{"sheet":"S(1)-2.1.2.1.1","index":42,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適用する開発言語と開発環境に適したセキュアコーディングの指針、及びツールを定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの設計・開発中にソースコードなどのコードベースに混入する脆弱性を抑止するために、開発するソフトウェアに適用する開発言語と開発環境に適したセキュアコーディングの指針やツールを定めたセキュアコーディングプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアコーディングプロセスを定義するドキュメント\n・セキュアなコードとするための原則・規則に関する参照すべき慣行\n・組織が定めるセキュアコーディング標準\n・組織が定めるコーディング・レビューに関する規定\n・適用する開発言語のセキュアな使用法\n・適用する開発環境（ツール等）のコード生成に係るセキュアな使用法\n・DevOpsあるいはDevSecOpsの各工程を自動化するツール等によるツールチェーンを適用した開発環境のコード生成に係るセキュアな使用法\n\n■実装標準への準拠要求に関するドキュメント\n・セキュアコーディングプロセスで定義した実装標準"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュア開発プロセスの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発言語・開発環境に適したセキュアコーディングのためのプロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：適用するセキュアコーディングプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1、OWASP Secure Coding Practices、CERT Coding Standards、IPA セキュアプログラミング講座等"}]

{"sheet":"S(1)-2.1.2.1.2","index":43,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境が適用されている。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの設計・開発中にソースコードなどのコードベースに混入する脆弱性を抑止するために、定義したセキュアコーディングの指針に準拠することを要求する自動化された機能を備えたツールを含む開発環境を使用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■実装標準への準拠要求に対応する機能に関するドキュメント\n・実装標準への準拠要求を満たすための自動化されたツール機能"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュア開発プロセスの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発言語・開発環境に適したセキュアコーディングのためのプロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：適用するセキュアコーディングプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1、OWASP Secure Coding Practices、CERT Coding Standards、IPA セキュアプログラミング講座等"}]

{"sheet":"S(1)-2.1.3.1.1","index":44,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.1.3.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのデフォルト状態を安全な状態とするためのデフォルトセキュアとする指針を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアを出荷する際のデフォルト状態がセキュアな状態となるようにソフトウェアを設計する指針を定めたデフォルトセキュアプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■デフォルトセキュアプロセスを定義するドキュメント\n・デフォルトセキュアな設計・設定とするための原則・規則"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュア開発プロセスの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの利用者向けにデフォルトセキュアな設定を実装するためのプロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.3.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：適用するデフォルトセキュアプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.2"}]

{"sheet":"S(1)-2.1.3.1.2","index":45,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.1.3.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのデフォルト構成を使用可能な形式で保存し、変更を管理するための指針を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのデフォルト構成を使用可能な形式（設定のコードとしての管理等）で保存し、変更を管理するための指針を定めたデフォルトセキュアプロセスを定義・構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■デフォルトセキュアプロセスを定義するドキュメント\n・デフォルト構成の保存と変更管理に関する規定"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュア開発プロセスの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアコーディングの観点、ビルド実施タイミングと方式、自動化ツールの利用、トレーニングなど、セキュアコーディング、セキュアビルド及びデフォルトセキュアに関するプロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの利用者向けにデフォルトセキュアな設定を実装するためのプロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.1.3.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：適用するデフォルトセキュアプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.2"}]

{"sheet":"S(1)-2.2.1.1.1","index":46,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"実行可能形式のセキュリティを向上させる機能を提供するビルドツールを識別・選定した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、セキュアに使用できるツールを選定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツールの採用にあたっては、セキュリティの維持とレジリエンス向上を確保するために更新に関する手続も評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■開発に適用する各ツールの識別、選定に関するドキュメント\n・選定した各ツール（開発言語・開発環境（コンパイラ、インタプリタ、ビルドツール等）など）の識別\n・各ツールの選定方法\n・選定した各ツールの選定結果（評価結果、選定理由を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアビルド"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義したプロセスに従い、開発に適用するツールを選定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：定義したプロセスに従って、ツールを選定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.6.1"}]

{"sheet":"S(1)-2.2.1.1.2","index":47,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"選定したビルドツールが、識別した脆弱性を軽減することを示す根拠となる資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスのを定義に従い、識別した脆弱性を軽減することに効果があるビルドツールを選定し採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツールの採用にあたっては、セキュリティの維持とレジリエンス向上を確保するために更新に関する手続も評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■開発に適用する各ツールの識別、選定に関するドキュメント\n・選定した各ツールの脆弱性分析結果（識別した脆弱性を軽減する根拠を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアビルド"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義したプロセスに従い、開発に適用するツールを選定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：定義したプロセスに従って、ツールを選定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.6.1"}]

{"sheet":"S(1)-2.2.2.1.1","index":48,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ビルドツールの使用機能と設定オプションを決定し、承認された構成でビルドした結果の資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、ビルドツールの使用機能と設定オプションを決定し、承認された構成でツールを使用しビルドすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■開発に適用する各ツール（コンパイラ、インタプリタ、ビルドツールなど）の構成、設定、利用に関するドキュメント\n・開発に適用する各ツールの構成\n・開発に適用する各ツールの機能とオプションの設定内容\n\n■開発に適用する各ツールの決定、承認の記録\n・開発に適用する各ツールの構成・設定・利用の決定・承認の履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアビルド"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義したプロセスに従い、開発に適用するツールを使用して、承認された構成に基づきビルドしていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：定義したプロセスに従って、承認された構成でツールを使用し、実行可能形式をビルドしていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.6.2"}]

{"sheet":"S(1)-2.2.2.1.3","index":49,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.2.2.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ビルドツールの真正性と整合性の継続的又は定期的な検証に関する記録が存在する。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの実行可能形式のセキュリティを向上させるために、セキュアなビルドプロセスの定義に従い、ビルドツールの真正性（信頼できる正しいツールであること）と整合性（ツールに改ざんや破損がないこと）の定期的又は継続的又は定期的な検証を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■開発に適用する各ツールの検証の記録\n・開発に適用する各ツールの定期的又は継続的又は継続的な検証結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアビルド"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"実行可能形式のセキュリティを向上させる機能を提供するコンパイラ、インタプリタ、及びビルドツールを使用し、コードを生成・ビルドする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義したプロセスに従い、開発に適用するツールを使用して、承認された構成に基づきビルドしていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：定義したプロセスに従って、承認された構成でツールを使用し、実行可能形式をビルドしていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.6.2"}]

{"sheet":"S(1)-2.3.1.1.1","index":50,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの段階に応じて、コードレビュー及び/又は分析方法を選択し、レビューを実施するタイミングと方法を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、ソフトウェアのライフサイクルに応じたタイミング・方法で実施する計画を立案することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードレビュー・分析の計画に関するドキュメント\n・コードレビュー及び/又はコード分析の計画（タイミング、方法を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.1、PW.7.2"}]

{"sheet":"S(1)-2.3.1.1.2","index":51,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードレビュー及び/又はコード分析により発見された指摘事項の情報管理に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析により発見した指摘事項を情報管理し、課題追跡において活用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードレビュー・分析の情報管理に関するドキュメント\n・コードレビュー及び/又はコード分析と結果の情報管理（課題追跡システムなどによる分析・レビュー結果の管理）に関する規定・手順"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.1、PW.7.2"}]

{"sheet":"S(1)-2.3.1.1.3","index":52,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードレビュー及び/又はコード分析のどちらを使用すべきかを、組織の定義に従って決定した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析の手法を、ソフトウェアのライフサイクル全体で一貫したレビューとすることを目的とした組織の定義に従って決定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードレビュー・分析に関する記録\n・組織の定義にしたがってレビュー方法を決定した記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアライフサイクルの段階に応じたコードレビュー・分析方法を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.1、PW.7.2"}]

{"sheet":"S(1)-2.3.1.2.1","index":53,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義されたタイミングと方法に基づき、コードレビュー及び/又はコード分析を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、計画したタイミング・方法で実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードレビュー・分析結果に関するドキュメント及び記録\n・コードレビュー結果\n・コード分析結果（ツールによる分析結果を含む）\n・発見された指摘事項の情報管理の記録（課題追跡システムなどを含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：コードレビュー・分析を実施した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.1、PW.7.2"}]

{"sheet":"S(1)-2.3.1.2.2","index":54,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、サードパーティのコードや社内で再利用するコードに対して、コードレビュー及び/又はコード分析を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n対象とするソフトウェアに含まれるサードパーティのコードや社内で再利用するコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析を、必要なタイミング・方法で計画及び実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードレビュー・分析結果に関するドキュメント及び記録\n・（必要な場合）サードパーティのコードに対するコードレビュー結果\n・（必要な場合）サードパーティのコードに対するコード分析結果（ツールによる分析結果を含む）\n・（必要な場合）社内で再利用するコードに対するコードレビュー結果\n・（必要な場合）社内で再利用するコードに対するコード分析結果（ツールによる分析結果を含む）・発見された指摘事項の情報管理の記録（課題追跡システムなどを含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：コードレビュー・分析を実施した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.1、PW.7.2"}]

{"sheet":"S(1)-2.3.1.2.3","index":55,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.1.2.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツール（静的コード分析ツールなど）を使用して、コードの脆弱性と組織のセキュアコーディング標準への準拠を点検した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析により、コード内の脆弱性の有無確認、及び組織のセキュアコーディング標準への準拠性を点検することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードレビュー・分析結果に関するドキュメント\n・コード内の脆弱性の確認結果\n・組織が定義したセキュアコーディング標準への準拠性の確認結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：コードレビュー・分析を実施した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.1、PW.7.2"}]

{"sheet":"S(1)-2.3.1.3.1","index":56,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.1.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードレビュー及び/又はコード分析の結果を検証し、問題の根本原因を整理・特定した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアのコードに対して、人が直接コードを見て問題を発見するレビュー、及び/又は静的分析ツールなどを使用し完全自動又は人が介在してコードの問題を発見するコード分析の結果を検証することで、問題の根本原因を特定することについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードレビュー・分析結果に基づく検証結果に関するドキュメント\n・コードレビュー・分析結果に基づく検証結果（発見された問題の根本原因の考察を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：コードレビュー・分析結果の検証により発見された問題の根本原因を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.1、PW.7.2"}]

{"sheet":"S(1)-2.3.2.2.1","index":57,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定した根本原因を分類し、推奨する改善策と優先度に関する助言とともに、該当するプロセスにフィードバック又は共有した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を分析することにより特定した根本原因と対応結果を分類し、推奨する改善策と優先度（トリアージが必要な場合に有用となる重要度のレベル付け、対応可否の検討など）に関する助言とともに、対象となるプロセスの実施主体にフィードバック又は共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■特定した根本原因の対応結果のフィードバック・共有に関連するドキュメント又は記録\n・根本原因の対応結果のフィードバック・共有に関する仕組み又は実施の履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：問題の根本原因に対する対応結果を、プロセスにフィードバックした記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.2"}]

{"sheet":"S(1)-2.3.2.3.1","index":58,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.2.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定した根本原因への対応を踏まえ、プロセスの定義を変更し、プロセスの実装に反映した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を分析することにより特定した根本原因と対応結果を踏まえ、問題の発生を排除もしくは低減するために根本原因となるプロセスの定義を更新することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュア開発プロセス定義の更新に関するドキュメント又は記録\n・定義したセキュア開発プロセス（セキュアビルドプロセス、セキュアコーディングプロセス、デフォルトセキュアプロセス）の更新履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードのレビュー及び分析による検証により発見された問題の指摘事項、及び問題の根本原因を特定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.2.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：問題の根本原因への対応を踏まえ、プロセスを更新した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.2"}]

{"sheet":"S(1)-2.3.2.1.1","index":59,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.3.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"問題の指摘事項をプロセス（コーディングなど）にフィードバック又は共有した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nコードレビューやコード分析により発見された指摘事項を、対象となるプロセスの実施主体にフィードバック又は共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■問題の指摘事項のフィードバック・共有に関連するドキュメント又は記録\n・問題の指摘事項のフィードバック・共有に関する履歴（課題追跡システムなどの履歴を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"検証とフィードバック"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析による検証により発見された問題の根本原因を特定し、その対応結果をプロセスにフィードバックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定された指摘事項、及び根本原因に対する対応結果をプロセスへフィードバックし、プロセスを必要に応じて更新していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.3.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：問題の指摘事項をプロセスにフィードバックした記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.2"}]

{"sheet":"S(1)-2.4.1.1.1","index":60,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.4.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のセキュアコーディング標準に基づき、コードレビュー及び/又はコード分析の対象とするコードベースを特定している資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n組織のセキュアコーディング標準に準拠するために、ソフトウェアのコードレビュー及び/又はコード分析は、組織が可読とみなすあらゆる形式のコードベースを漏れなく対象として特定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードレビュー・分析の対象に関するドキュメント\n・レビュー・分析対象のコードベース（例：ソースコード、テストコード、設定ファイル、コードとセットで理解が必要な情報に関する定義コード、AIツールへ入力するコード、AIツールが生成したコード）、もしくはそれらをレビュー・分析対象としていることを示す記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードベース"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析の対象は、ソースコードのみでなく、可読性があると組織が決定したさまざまな形式のコード（設定ファイル等）も対象とする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードレビューとコード分析の対象を、組織が可読とみなすあらゆる形式のコードとしていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：コードレビュー・分析の対象とするコードベースを漏れなく特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.2"}]

{"sheet":"S(1)-2.4.1.1.2","index":61,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-2.4.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、サードパーティのコードや組織内で作成した再利用可能なコードをレビュー及び/又は分析の対象とする資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n組織のセキュアコーディング標準に準拠するために、ソフトウェアのコードレビュー及び/又はコード分析は、必要に応じて、サードパーティのコードや組織内で作成した再利用可能なコードを対象とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードレビュー・分析の対象に関するドキュメント\n・（必要な場合）レビュー・分析対象のサードパーティのコード\n・（必要な場合）組織内で作成した再利用可能なコードをレビュー・分析対象としていることを示す記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードベース"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビュー及び分析の対象は、ソースコードのみでなく、可読性があると組織が決定したさまざまな形式のコード（設定ファイル等）も対象とする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードレビューとコード分析の対象を、組織が可読とみなすあらゆる形式のコードとしていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-2.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：コードレビュー・分析の対象とするコードベースを漏れなく特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.7.2"}]

{"sheet":"S(1)-3.1.1.1.1","index":62,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脅威モデルに基づくリスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定した、セキュリティテスト計画に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画（脅威モデルに基づく、リスク分析評価の結果、及び設計とコードのレビュー・分析の結果を踏まえて策定したテスト範囲、テスト方式、テスト実施時期を含む）を立案することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティテスト計画のドキュメント\n・テスト範囲、テスト方式、テスト実施時期、その他（例：体制、環境、ツール、適用する基準、日程、テスト仕様など）を含むテスト計画\n・脅威モデル、リスク分析（考慮すべき脆弱性を含む）、設計やコードのレビュー・分析などの結果を反映していることの根拠となる情報"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト計画"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティテスト計画が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.1"}]

{"sheet":"S(1)-3.1.1.1.2","index":63,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、セキュリティテストのテスト範囲に、実行可能コードを実行する動的テストを含む資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画を立案する際に、必要に応じて、実行可能コード（バイナリ、直接実行されるバイトコード、及び組織が実行可能であるとみなすその他の形式のコードを含む）を実行する動的テストを含めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティテスト計画のドキュメント\n・（必要な場合）テスト方式（実行可能コードに対する動的なセキュリティテスト）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト計画"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティテスト計画が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.1"}]

{"sheet":"S(1)-3.1.1.1.3","index":64,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.1.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、セキュリティテストの対象に、サードパーティの実行可能コードを含む資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアをリリースする前に、残存する脆弱性を特定し、修正するためのセキュリティテスト計画を立案する際に、必要に応じて、サードパーティの実行可能コードを対象とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティテスト計画のドキュメント\n・（必要な場合）テスト範囲（サードパーティの実行可能コード）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト計画"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脅威モデルとリスク分析に基づき、テスト範囲及びテスト方式を決定し、テスト計画を立案する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"通常の機能テストで特定されない脆弱性を確認するためのセキュリティに関するテスト計画を立案していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティテスト計画が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.1"}]

{"sheet":"S(1)-3.2.1.1.1","index":65,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティテストのテスト方式として、追加の機能テスト、脆弱性テスト、ファジングテスト、侵入テスト、その他のテスト方式のうち必要なすべてを特定した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアをリリースする前に実施するセキュリティテスト計画として、残存する脆弱性を確認するのに適した全てのセキュリティテストのテスト方式を特定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n動的セキュリティテストとしては、追加の機能テスト（機能テストを脆弱性有無確認に拡張）、脆弱性テスト（特定の脆弱性の有無確認のためのテスト）、ファジングテスト（異常データや意図しないデータを大量に自動投入しバグや脆弱性を検出するテスト）、侵入テスト（脆弱性有無を探索して侵入が成立するかを確認する疑似攻撃テスト）、その他のテスト方式（デフォルト設定状態及び設定変更後のセキュリティ上の弱点や運用上の問題を確認するテストなどを含む）から、必要なすべてを特定する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティテスト計画のドキュメント\n・動的なセキュリティテストのテスト方式の特定\n・特定したテスト方式で十分とした根拠"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト方式"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト方式には、機能テスト、脆弱性テスト、ファジング、侵入テストなどを含める。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"機能テスト、脆弱性テスト、ファジング、侵入テスト等から適切なテスト方式を選択していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティテストのテスト方式を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.1、PW.8.2"}]

{"sheet":"S(1)-3.3.1.1.1","index":66,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティテスト計画に基づいて設計・作成したセキュリティテストのテスト仕様・テスト環境の資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュリティテスト計画に基づいてテスト仕様を設計・作成し、テスト環境を構築することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■テスト仕様、テスト環境に関するドキュメント\n・セキュリティテストの仕様\n・テストを実施するためのテスト環境"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト実施"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト計画にしたがってテストを設計、実施し、結果を文書化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティに特化したテスト計画に基づき、テストを設計、実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.2"}]

{"sheet":"S(1)-3.3.1.1.2","index":67,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.3.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティテスト計画・テスト仕様・テスト環境を使用してセキュリティテストを実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアをリリースする前に、セキュリティテスト計画、テスト仕様、テスト環境を使用してセキュリティテストを実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■テストの実施に関する記録\n・特定したテスト方式によるセキュリティテストを実施した記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト実施"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト計画にしたがってテストを設計、実施し、結果を文書化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティに特化したテスト計画に基づき、テストを設計、実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.2"}]

{"sheet":"S(1)-3.3.1.2.1","index":68,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティテストの結果を文書化し、発見した全ての問題を記述した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアをリリースする前に、セキュリティテスト計画に基づいたセキュリティテストを実施し、発見した全ての問題（検出した残存脆弱性を含む）に関する記述と共にテスト結果を文書化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■テスト結果報告に関するドキュメント\n・テスト結果報告書（検出した問題の記述を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト実施"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト計画にしたがってテストを設計、実施し、結果を文書化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テスト計画に基づいて、テストを設計、実施し、実施後に結果を文書化していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティテストの結果を文書化していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.2"}]

{"sheet":"S(1)-3.4.1.1.1","index":69,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.4.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"発見した問題、及び検討した対応策の情報管理に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対する対応策を検討し、その情報を管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティテストで発見した問題への対処に関するドキュメント\n・問題への対応策に関する情報管理（課題追跡システムなどを含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"問題への対応"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.2"}]

{"sheet":"S(1)-3.4.1.1.2","index":70,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.4.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、対応策に対する優先順位付けを実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対して、必要に応じて、緊急度・重要度の観点で対策の優先順位に基づく選別（トリアージ）を行い、対処すべき対応策を決定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティテストで発見した問題への対処に関するドキュメント\n・（必要な場合）問題への対応策のトリアージに関する情報管理（課題追跡システムなどを含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"問題への対応"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.2"}]

{"sheet":"S(1)-3.4.1.1.3","index":71,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-3.4.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"対応策を開発に組み込んで対処した内容に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nセキュリティテストの結果、発見した問題（残存する脆弱性を含む）に対する対応策を、セキュア開発プロセスに基づく開発チームのワークフローに組み込んで対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。組織の環境に応じて適切な優先度とその根拠に基づいた必要な対応策が実施されていることを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティテストで発見した問題への対処に関するドキュメント\n・問題への対応を開発チームのワークフローに組み込んで対処した内容及びその履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"問題への対応"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"テストの結果、発見された全ての問題と推奨される対応策を開発チームのワークフローに組み込み、対処する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"発見した全ての問題と推奨される対応策を検討し、順位付けした上で、開発チームのワークフローにおいて対処していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-3.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティテストの結果、発見した問題に対処した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.8.2"}]

{"sheet":"S(1)-4.1.1.1.1","index":72,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"システム・サービスの管理すべき資産の対象範囲の特定に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nシステム・サービスが扱う資産（情報、データなど）、及びシステム・サービスを構成する資産（ハードウェア、ソフトウェア、設定など）について、ソフトウェアの運用時に管理すべき資産の対象範囲を特定するための方針又は手順を、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n資産の対象範囲の特定は、運用を支援するシステム・サービスが扱う資産やソフトウェア構成要素を正確に把握することを目的とする。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■資産管理手順に関するドキュメント\n・ソフトウェア及びシステム・サービスの資産の対象範囲の特定に関する情報（例：管理すべき資産の範囲、管理すべき資産を特定するための方針又は手順）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"資産管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：資産管理手順が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.1\nDSP 1.1"}]

{"sheet":"S(1)-4.1.1.1.2","index":73,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"システム・サービスの資産の管理手順に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順（セキュアな維持の方法を含む）を、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■資産管理手順に関するドキュメント\n・ソフトウェア及びシステム・サービスの資産管理方法"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"資産管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：資産管理手順が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.1\nDSP 1.1"}]

{"sheet":"S(1)-4.1.1.2.1","index":74,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"システム・サービスの資産管理手順に従って整備した資産リストに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストを、運用者または運用を支援する立場で整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■資産リストに関するドキュメント\n・ソフトウェア及びシステム・サービスの資産に関するリスト（例：システム・サービスが管理する情報資産、システム・サービスの構成要素）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"資産管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：資産リストが存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.1\nDSP 1.1"}]

{"sheet":"S(1)-4.1.1.3.1","index":75,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.1.1.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"システム・サービスの資産管理手順に従い、資産リストに含まれる構成が、セキュリティ上の弱点や運用上の問題を含まないセキュアなベースラインを維持していることを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストに含まれる構成要素が、顕在化した脆弱性などのセキュリティ上の弱点や、対応すべき運用上の問題を含まないと判断できるレベルを維持するように、運用者または運用を支援する立場で対応することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアな構成の維持に関するドキュメント\n・資産リストの構成がセキュアなベースラインを維持することを示す記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"資産管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：資産のセキュアな構成を維持していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.1\nDSP 1.1"}]

{"sheet":"S(1)-4.1.1.3.2","index":76,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.1.1.3.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"資産リストのセキュアな構成を維持するために、構成管理・変更管理と連動することを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nシステム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産リストに含まれる構成要素のセキュアな構成を維持するために、運用者または運用を支援する立場で、これらの構成要素のバージョン情報や変更履歴を管理するために、構成管理や変更管理を連動させて  管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアな構成の維持に関するドキュメント\n・資産リストの維持に関連する構成管理・変更管理の履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"資産管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、システム・サービスが扱う資産、及びシステム・サービスを構成する資産に関する資産管理手順と資産リストを整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスに関わる資産に関して、管理すべき資産の対象範囲及び管理方法を含むシステム・サービスの資産管理手順と資産リストを整備し、セキュアな構成を維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.1.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：資産のセキュアな構成を維持していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.1\nDSP 1.1"}]

{"sheet":"S(1)-4.2.1.1.1","index":77,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"想定リスクに対する運用を考慮した本番運用環境のシステム分離に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nリスクの影響を低減するために、想定するリスクに対する運用を考慮して本番運用環境を分離することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■運用環境の分離に関するドキュメント\n・システムの運用環境のネットワーク構成、システム構成"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"モニタリング環境の整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクの影響を軽減するために、システムを適切に分離していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスクの影響を考慮してシステムを分離していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.1\nDSP 1.2"}]

{"sheet":"S(1)-4.2.1.1.2","index":78,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"本番運用環境のシステムは、多層防御を意識した分離構成とする資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n本番運用環境において、多層防御の考え方に基づき、システムを機能やセキュリティレベルごとにネットワークや物理層・論理層で分離し、それぞれの境界にセキュリティ監視機能（セキュリティ製品などのスタック）を配置することで、脅威の拡散を防止しリスクの影響を低減する分離構成とすること、及びリスクの影響を低減するために、セキュリティ監視に適した分離構成とし、分離した各構成へのアクセスの監視を適切に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n従来の境界型防御だけではなく、通信ごとにIDやコンテキストに基づく継続的な検証とセキュリティ監視機能を適用することによるゼロトラストの概念を採用していることも該当する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■運用環境の構成及び管理状況のドキュメント\n・システムの運用環境におけるセキュリティスタックの配置構成（例：境界防御のための分離構成、システム機能別の分離構成、セキュリティレベルによる分離構成）\n・システム分離効果を維持するためのセキュリティコントロール（例：特権ユーザーのアクセス制御、すべてのアクセス試行のログ、監視ログの履歴）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"モニタリング環境の整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクの影響を軽減するために、システムを適切に分離していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスクの影響を考慮してシステムを分離していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.1\nDSP 1.2"}]

{"sheet":"S(1)-4.2.2.1.1","index":79,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"本番運用環境のシステム内部のセキュリティの運用状況をモニタリングする環境を整備し、ログを生成、分析することを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与えるセキュリティコントロールの運用状況を監視するためのモニタリング環境（ツール等）を整備し、ログを生成、分析することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■運用環境のシステムを監視するモニタリング環境のドキュメント\n・モニタリング環境の構成（例：セキュリティコントロールの運用状況を監視するツール構成、監視、検出、対応、回復に関連するセキュリティスタックの構成）\n・セキュリティコントロールの運用状況の監視に関するメカニズムの記述"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"モニタリング環境の整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1\nDSP 2.1"}]

{"sheet":"S(1)-4.2.2.1.2","index":80,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.2.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"本番運用環境のシステムにおいて、操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出し、対応、回復することを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与える可能性のある操作と警告のログを継続的に監視し、サイバー攻撃の試みや実際のサイバー攻撃を検出するとともに、検出した攻撃への対応や回復のための手順を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■運用環境のサイバー攻撃への対応手順に関するドキュメント\n・モニタリング環境を利用したサイバー攻撃への対応手順（例：サイバー攻撃によるインシデント対応手順）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"モニタリング環境の整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1\nDSP 2.1"}]

{"sheet":"S(1)-4.2.2.1.3","index":81,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.2.2.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"本番運用環境に展開されたすべてのソフトウェアに新たな脆弱性がないか継続的に監視し、発見された脆弱性にリスクベースで対応することを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、本番運用環境のソフトウェアにおける脆弱性を継続的に監視し、発見された脆弱性に対してリスクベースで判断し対応することについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■運用環境のソフトウェアの脆弱性の継続的な監視に関するドキュメント\n・本番運用環境で実施する脆弱性の監視と対応の手続き"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"モニタリング環境の整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、リスク発生時の潜在的な影響を最小化するためにシステムを適切に分離し、ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアによる資産保護上重要なリスクを監視するモニタリング環境を整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：資産へのリスクを軽減する分離メカニズムを監視するモニタリング環境を整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.5.1\nDSP 2.1"}]

{"sheet":"S(1)-4.3.1.1.1","index":82,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者が、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータを保護するために、セキュリティ要件に対応するセキュリティメカニズムをソフトウェアに実装することを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータの機密性・完全性の保護に資するセキュリティメカニズムをソフトウェアに実装・配備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティメカニズムの実装に関するドキュメント\n・ソフトウェアの動作として監視すべき保護セキュリティメカニズムの特定（例：標準化された識別認証管理、アクセス制御、ログ管理、暗号化・署名等）\n・セキュリティメカニズムの方式及び実装方法の概要\n・セキュリティメカニズムの配備及び監視方法の概要"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティメカニズムの整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティメカニズムを実装していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2\nDSP 2.1"}]

{"sheet":"S(1)-4.3.1.2.1","index":83,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者が、モニタリング環境にセキュリティメカニズムの動作状況を監視するための監視機能を実装することを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータを保護するセキュリティメカニズムの動作状況を監視するための監視機能（セキュリティメカニズムの動作状況を、監査機能を介して収集・分析する機能）をモニタリング環境に実装・配備し、運用者が自らの権限で、ソフトウェアのセキュリティに影響を与える運用状況を把握することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティメカニズムのモニタリング環境に関するドキュメント\n・セキュリティメカニズムの監視方式及び実装方法の概要\n・モニタリング環境の監視機能へのアクセス制御方式の概要"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティメカニズムの整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティメカニズムのモニタリング環境を整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2\nDSP 2.1"}]

{"sheet":"S(1)-4.3.1.2.2","index":84,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.3.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"モニタリング環境の管理は最小権限の原則を実現する構成としている資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、リソース上にある情報資産及びデータを保護するために実装・配備したセキュリティメカニズムの動作状況を監視するモニタリング環境の管理は、特定の管理者に限定する最小権限の原則に基づく構成とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティメカニズムのモニタリング環境に関するドキュメント\n・モニタリング環境の管理機能へのアクセス制御方式の概要（例：最小権限、機能分離、最小機能などの実現方法）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティメカニズムの整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びソフトウェアを適用するシステム・サービスが、動作環境またはデジタルインフラなどのリソース上にある情報資産及びデータの機密性・完全性を保護し、監視可能とするための適切なセキュリティメカニズムを整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"情報資産及びデータの機密性・完全性の保護、及びその監視のためのメカニズムを実装していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティメカニズムのモニタリング環境を整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2\nDSP 2.1"}]

{"sheet":"S(1)-4.4.1.1.1","index":85,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.4.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"本番運用環境で動作するソフトウェアに実装した重要なメカニズムの動作状況をモニタリングした記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n本番運用環境のソフトウェアによるリスクの影響を低減するために、ソフトウェアのセキュリティに影響を与える重要なメカニズム（セキュリティメカニズム以外で、他のサービスと整合してソフトウェアの環境上にある情報資産及びデータを保護、維持することが求められるメカニズム）の運用状況を監視するためのモニタリング（対象メカニズムの動作状況のログ等による静的あるいは動的な監視）を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本番運用環境におけるモニタリング環境を整備する必要がない場合は、判断結果と理由に関する資料や情報に基づいて対象外とすることができる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■モニタリング記録のドキュメント\n・情報資産及びデータの保護に関連するメカニズムの動作状況の監視ログ"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"モニタリングと評価"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"重要なサービスで動作するソフトウェアに適用したメカニズムの動作状況をモニタリングしていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：メカニズムの動作状況をモニタリングした記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"DSP 2.1"}]

{"sheet":"S(1)-4.4.2.1.1","index":86,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.4.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア及びシステム・サービスの運用におけるリスク管理の一環として、セキュリティ評価を定期的に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェア及びシステム・サービスに対するセキュリティ評価結果のドキュメント\n・ソフトウェアに対する定期的なセキュリティ評価結果\n・システム・サービスに対する定期的なセキュリティ評価結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"モニタリングと評価"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.4.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施し、評価結果を組織のリスク管理の枠組みに統合していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.4.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：定期的に実施したセキュリティ評価結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"DSP 2.1"}]

{"sheet":"S(1)-4.4.2.2.1","index":87,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(1)-4.4.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客をサポートする運用者としてリスク管理を実施する立場から、運用のリスク管理活動を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア及びシステム・サービスの運用におけるリスク管理の一環として実施したセキュリティ評価の結果の指摘事項への対応を、顧客をサポートする運用者としての組織的なリスク対応活動として実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ評価の指摘事項への対応に関するドキュメント\n・ソフトウェアに対するセキュリティ評価の指摘事項を踏まえた是正計画、是正処置、改善計画等\n・システム・サービスに対するセキュリティ評価の指摘事項を踏まえた是正計画、是正処置、改善計画等\n■セキュリティ評価に係る運用者としての組織的なリスク対応活動の記録\n・セキュリティ評価の指摘事項への対応（是正計画、是正処置、改善計画等）に対する運用のリスク管理に関する決定事項に関する記録\n・運用のリスク緩和策の達成手段に関する記録\n・運用における例外措置、根拠、及び承認履歴に関する記録\n\n■リスク対応活動記録の維持管理・共有の記録\n・運用のリスク対応活動の記録が監査や保守の目的で利用された証拠となる記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"モニタリングと評価"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、重要なサービスを提供するソフトウェアに適用したメカニズムの動作状況をモニタリングするとともに、定期的にセキュリティ評価を実施し、組織のリスク管理の枠組みに統合する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.4.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスに関するセキュリティ評価を定期的に実施し、評価結果を組織のリスク管理の枠組みに統合していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(1)-4.4.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティ評価結果を運用組織のリスク管理の枠組みで対処した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"DSP 2.1"}]

{"sheet":"S(2)-1.1.1.1.1","index":88,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、標準化されたセキュリティ機能を求める場合、これらの具備すべきセキュリティ機能に対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n外部手配する外製ソフトウェアコンポーネントとは、例えば、標準化された、あるいはデファクトスタンダードなセキュリティ機能・サービスなどを提供するオープンソースソフトウェア、ソフトウェアライブラリ、モジュール、ミドルウェア、フレームワーク、あるいは、これらの機能を提供する機器を含むものである。\n標準化されたセキュリティ機能を具備するソフトウェアコンポーネントとは、例えば、以下のようなシステム・モジュールである。（それらの開発環境を含む場合もある）\n暗号・復号化モジュール、署名モジュール、ハッシュ値生成モジュール、認証システム/モジュール、ログ管理システム/モジュール、構成管理システム/モジュール、リリース管理システム/モジュール、問題管理システム/モジュール、脆弱性管理システム/モジュール"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■標準化されたセキュリティ機能のためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠したセキュリティ機能に関するセキュリティ要件\n・標準化された仕様に基づくセキュリティ機能に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）\n・標準又はデファクトスタンダードな管理・制御方式を求めるセキュリティ要件"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの手配"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：標準化されたセキュリティ機能とサービスを使用するために、組織が定めたセキュリティ要件を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.3"}]

{"sheet":"S(2)-1.1.1.1.2","index":89,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が使用することができる標準化された外部サービスに関する組織のセキュリティ要件を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、標準化された外部サービスを求める場合、これらのサービスに対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n外部手配するサービスとは、例えば、標準化された、あるいはデファクトスタンダードなセキュリティ機能・サービスなどを提供するオープンソースソフトウェア、ソフトウェアライブラリ、モジュール、ミドルウェア、フレームワークなどの機能を商用サービスとして提供するものである。\n標準化された外部サービスとは、例えば、以下のようなシステム・サービスである。（それらの開発環境を含む場合もある）\n暗号・復号化サービス、署名サービス、ハッシュ値生成サービス、認証システム/サービス、ログ管理システム/サービス、構成管理システム/サービス、リリース管理システム/サービス、問題管理システム/サービス、脆弱性管理システム/サービス"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■標準化されたサービスを使用するためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠しサービスに関するセキュリティ要件\n・標準化された仕様に基づく使用可能なサービス（例：SaaS、PaaS、IaaS、その他）に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの手配"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：標準化されたセキュリティ機能とサービスを使用するために、組織が定めたセキュリティ要件を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.3"}]

{"sheet":"S(2)-1.1.1.2.1","index":90,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための組織の要件を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n外部手配するソフトウェアコンポーネントに対して、安全性の高いソフトウェアコンポーネントを、正式な手続きに基づいて外部から手配するための要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外製ソフトウェアコンポーネントをセキュアに手配するために組織が定めた要件を定義したドキュメント\n・商用・オープンソースなどサードパーティが開発・提供するソフトウェアコンポーネントを安全に手配するために組織が定めた要件（例：取引実績、認証取得実績）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの手配"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部手配するソフトウェアコンポーネントに対する組織の要件を定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：外製ソフトウェアコンポーネントをセキュアに手配するために、組織が定めた要件を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.1.3"}]

{"sheet":"S(2)-1.1.2.1.1","index":91,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部手配するソフトウェアコンポーネントのセキュアな構成が要件を満たすことを確認した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対する要件に基づいて、外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）をセキュアに構成することにより、そのソフトウェアコンポーネントが組織の要件を満たすことを確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・セキュアな構成により組織の要件を満たすことの確認結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの手配"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.1.2.1.2","index":92,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"利用環境や使用状況に照らして、外部手配するソフトウェアコンポーネントが要件を満たすことをレビュー・評価した結果の資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対する要件に基づいて、外部手配するソフトウェアコンポーネント（該当する場合、外部サービスも含む）に対して、利用環境や使用状況を想定したレビュー・検証・評価を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・利用環境や使用状況を踏まえた仕様・設定・操作などのレビュー・評価結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの手配"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.1.2.1.3","index":93,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.1.2.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソースコードからソフトウェアコンポーネントをビルドし、利用環境や使用状況を踏まえて安全性を検証・評価した結果の資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネントに対する要件に基づいて、外部手配するソフトウェアコンポーネントに対して、利用環境や使用状況を想定したレビュー・検証・評価を実施する際、必要に応じて、ソースコードからソフトウェアコンポーネントをビルドし、動的確認・静的解析・動的解析を組み合わせて安全性を検証・評価することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外部手配するソフトウェアコンポーネントのレビュー・評価結果のドキュメント\n・（必要な場合）ソースコードからのビルド及びセキュリティスキャンなどによる安全性検証・評価結果\n・（必要な場合）利用環境や使用状況を踏まえた動作確認、静的解析（バイナリスキャン）、又は動的解析による安全性検証・評価結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの手配"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：外製ソフトウェアコンポーネントに対して、利用環境を想定したレビュー・評価の結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.1.2.2.1","index":94,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.1.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価結果に基づき、安全性の高い外製ソフトウェアコンポーネントを選定・取得した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n組織が定義した外部手配するソフトウェアコンポーネントに対する要件に基づいて、外部手配するソフトウェアコンポーネントに対して、利用環境や使用状況を想定したレビュー・検証・評価を実施し、安全性の高い外製ソフトウェアコンポーネントを選定・取得することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外部手配するソフトウェアコンポーネントの選定結果のドキュメント\n・レビュー・評価結果に基づく選定結果\n・安全性検証・評価結果に基づく選定結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの手配"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部から手配する商用、オープンソース、その他のサードパーティのソフトウェアコンポーネントは、組織が定義した要件を満たす安全性の高いものを採用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"定義した要件に基づき、利用環境を想定してレビュー・評価し、外製ソフトウェアコンポーネントを採用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.1.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：外製ソフトウェアコンポーネントに関する選定結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.2.1.1.1","index":95,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部手配するソフトウェアコンポーネントと同様に、内製するソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能に関する組織のセキュリティ要件を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n内製するソフトウェアコンポーネントを開発する際、外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求める場合、これらの具備すべきセキュリティ機能に対するセキュリティ要件を、組織として定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■標準化されたセキュリティ機能のためのセキュリティ要件を定義したドキュメント\n・公的機関や民間団体が推奨する仕様等に準拠したセキュリティ機能に関するセキュリティ要件\n・標準化された仕様に基づくセキュリティ機能に関するセキュリティ要件（例：ISO、IEC、IETF、ESTIなどの国際標準のほか、OWASP、CISなどが公開するセキュリティ要件）\n・標準又はデファクトスタンダードな制御方式を求めるセキュリティ要件"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの開発・維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"内製するソフトウェアコンポーネントに対するセキュリティ基準・慣行を、組織が確立していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの内製化に適用する組織のセキュリティ基準が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.2"}]

{"sheet":"S(2)-1.2.1.2.1","index":96,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"内製するソフトウェアコンポーネントの開発・維持には、S(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n内製するソフトウェアコンポーネントを開発する際、原則としてS(1)「セキュアな設計・開発・供給・運用」で定義した「セキュア開発プロセス」を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■内製ソフトウェアコンポーネントが「セキュア開発プロセス」に従うことを示すドキュメント\n・組織が定義する「セキュア開発プロセス」を適用することが示された記述"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの開発・維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"内製するソフトウェアコンポーネントに対するセキュリティ基準・慣行を、組織が確立していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアコンポーネントの内製化に適用する、セキュアなソフトウェア開発に資する組織のセキュリティ慣行を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.2"}]

{"sheet":"S(2)-1.2.2.1.1","index":97,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"内製ソフトウェアコンポーネントのリストに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントをリスト化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■内製ソフトウェアコンポーネントのリストに関するドキュメント\n・内製ソフトウェアコンポーネント一覧のリスト"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの開発・維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：内製ソフトウェアコンポーネントリストが存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.2"}]

{"sheet":"S(2)-1.2.2.1.2","index":98,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.2.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"内製ソフトウェアコンポーネントを利用するためのリファレンスガイダンスに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントを利用するためのリファレンスガイドを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■内製ソフトウェアコンポーネントに関するドキュメント\n・内製ソフトウェアコンポーネントのリファレンスガイダンス（例：コンポーネントの仕様、セキュアな使用法）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの開発・維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：内製ソフトウェアコンポーネントリストが存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.2"}]

{"sheet":"S(2)-1.2.2.2.1","index":99,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.2.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"内製ソフトウェアコンポーネントのセキュアな構成に関する情報を維持管理・共有するための手続きや仕組みに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントの開発成果物のセキュアな構成とインスタンスを維持管理・共有することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■内製ソフトウェアコンポーネントの維持管理・共有に関するドキュメント\n・セキュアな構成とインスタンスのリポジトリに関する記述\n・リポジトリを維持管理・共有するための手段に関する記述"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの開発・維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：内製ソフトウェアコンポーネントのセキュアな構成に関する情報を管理・共有していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.2"}]

{"sheet":"S(2)-1.2.2.2.2","index":100,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.2.2.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、ソフトウェアコンポーネントの構成・設定を手動で行うことによるミスを防止する仕組みに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n外部手配するソフトウェアコンポーネントと同様に、ソフトウェアコンポーネントが具備すべき標準化されたセキュリティ機能を求めるセキュリティ要件を満たすように開発した内製ソフトウェアコンポーネントにおいて、必要に応じて、セキュアな構成・設定の手動実施によるミスを防止する仕組みを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■内製ソフトウェアコンポーネントの構成・設定の手動設定ミスを防止する仕組みに関するドキュメント又は記録・（必要な場合）構成・設定のコード化（例：CaC（configuration-as-code））\n・（必要な場合）構成・設定のバージョン管理（例：構成・設定情報の構成管理、ソフトウェア構成のCaC管理リポジトリ）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの開発・維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部からソフトウェアコンポーネントを手配しない場合、組織で確立されたセキュリティ基準・慣行にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が確立したセキュリティ基準・慣行に基づき、内製ソフトウェアコンポーネントを組織で開発し、セキュアな構成を決定し、維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.2.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：内製ソフトウェアコンポーネントのセキュアな構成に関する情報を管理・共有していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.2"}]

{"sheet":"S(2)-1.3.1.1.1","index":101,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が承認したソフトウェアコンポーネントを、コンポーネントバージョンの一覧及び、出所情報とともに維持管理する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントのバージョンの一覧、及び出所情報を取得・紐づけして維持管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントの出所情報の取得手順\n・ソフトウェアコンポーネントの出所情報の維持管理に関する手順"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントのリスク評価"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.3.1.1.2","index":102,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.3.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの出所情報をシステム又はツールで管理することを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントのバージョンの一覧、及び出所情報を取得・紐づけして維持管理する際、システム又はツール（例：SBOM）を適用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントのシステム又はツール（SBOM）による管理に関する手順\n・ソフトウェアコンポーネントの出所情報の維持管理記録の履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントのリスク評価"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.3.1.1.3","index":103,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.3.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけた管理とする資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果を出所情報と紐づけ管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントと出所情報の紐づけ管理に関するドキュメント\n・ソフトウェアコンポーネントの構成分析（ソース構成分析、バイナリソフトウェア構成分析など）の結果と出所情報との紐づけ管理記録の履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントのリスク評価"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの出所情報を取得した結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.3.1.2.1","index":104,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの出所情報に基づき、リスクを評価した結果に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネントの弱点や脆弱性を確認するために、取得・紐づけ管理する出所情報に基づく信頼性の確認、履歴情報の確認、脅威や脆弱性の確認を通じてリスクを評価することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■出所情報に基づくソフトウェアコンポーネントのリスク評価結果のドキュメント\n・ソフトウェアコンポーネントのリスク評価結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントのリスク評価"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの出所情報を取得・分析し、そのコンポーネントがもたらすリスクを評価する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの出所情報を取得、分析することで、ソフトウェアコンポーネントがもたらすリスクを評価していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアコンポーネントの出所情報に基づき、リスク評価した結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.4.1.1.1","index":105,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.4.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの公知脆弱性の定期的又は継続的な確認を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を定期的又は継続的に確認し、ソフトウェアコンポーネントにおける既知の公知脆弱性の有無を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■各ソフトウェアコンポーネントの定期的な公知脆弱性確認に関するドキュメント\n・各ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの公知脆弱性の確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.4"}]

{"sheet":"S(2)-1.4.1.1.2","index":106,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.4.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、導入した特定のソフトウェアコンポーネントの既知の公知脆弱性の自動検出をツールチェーンへ組込むことに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を継続的に確認する際に、必要に応じて、導入済みソフトウェアコンポーネントのうち、リスクを踏まえ重要と判断した特定のソフトウェアコンポーネントと、既知の公知脆弱性情報のデータベースとを自動的に照合し、脆弱性を検出・特定する仕組みを、ツールチェーンに組み込むことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■各ソフトウェアコンポーネントの継続的な公知脆弱性確認に関するドキュメント\n・（必要な場合）導入した特定のソフトウェアコンポーネントの公知脆弱性の自動検出に関する手続き"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの公知脆弱性の確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの公知脆弱性の定期的な確認結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.4"}]

{"sheet":"S(2)-1.4.1.2.1","index":107,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.4.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの公知脆弱性の確認結果から識別した未修正の脆弱性を除去もしくは低減するために実施した修正・変更を管理する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネントの公知脆弱性を定期的又は継続的に確認し、検出された未修正の公知脆弱性を除去もしくは低減するために実施したソフトウェアコンポーネントの修正（パッチ適用、コード修正など）・変更（適用バージョンの変更など）の対応結果を管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■各ソフトウェアコンポーネントの公知脆弱性への対応の管理に関するドキュメント\n・対応すべき未修正の公知脆弱性と修正・変更の対応策に関する手続き\n・ソフトウェアコンポーネントの修正・変更などの対応アクションの記録\n・セキュアな構成とインスタンスのリポジトリの更新に関する記録\n・脆弱性の修正を行わない場合の例外処置（例：逸脱等）に関する手続き"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの公知脆弱性の確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントに、未修正の公知脆弱性がないか定期的に確認していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアコンポーネントに対する未修正の脆弱性情報とその対応結果を管理していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.4"}]

{"sheet":"S(2)-1.4.2.1.1","index":108,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.4.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントのEOLの定期的又は継続的な確認結果に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネントのEOL/EOSの情報を定期的又は継続的に収集することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■各ソフトウェアコンポーネントの定期的なEOL確認結果のドキュメント\n・各ソフトウェアコンポーネントのEOLもしくはEOSの確認記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの公知脆弱性の確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントのサポート期間が、EOLに達していないことを定期的に確認し、サポート期間が終了しているソフトウェアコンポーネント、または近い将来利用できなくなるソフトウェアコンポーネントに対する対応計画を策定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントのサポート期間（EOL）の定期的な確認結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.4、RV.2.1"}]

{"sheet":"S(2)-1.4.2.2.1","index":109,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.4.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントのEOL/EOSがこれを導入した対象ソフトウェアの運用期間内である場合、EOL/EOSに基づく対応計画（移行計画を含む）を策定した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n収集したソフトウェアコンポーネントのEOL/EOSの情報と、これを導入した対象ソフトウェアの運用期間への影響を確認し、EOL/EOSに対する対応計画を策定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■EOL/EOSに基づく対応計画のドキュメント\n・各ソフトウェアコンポーネントのEOL/EOSへの対応計画（例：移行計画）\n・対象ソフトウェアに導入したソフトウェアコンポーネントのEOL/EOSへの対応計画"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの公知脆弱性の確認"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントの公知脆弱性、サポート期間を定期的にチェックする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントのサポート期間が、EOLに達していないことを定期的に確認し、サポート期間が終了しているソフトウェアコンポーネント、または近い将来利用できなくなるソフトウェアコンポーネントに対する対応計画を策定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.4.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアコンポーネントのサポート期間（EOL）及びサポート終了（EOS）に基づく対応計画が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.4、RV.2.1"}]

{"sheet":"S(2)-1.5.1.1.1","index":110,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.5.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの更新プロセスの定義に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュアにソフトウェアコンポーネントの更新を実施するためのプロセスを定義し、正式な手順として導入することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n・新バージョンへのセキュアな更新手続き（例：出所情報の取得・保存、更新におけるセキュリティチェック方法など）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの更新"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.5.1.1.2","index":111,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.5.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"更新プロセスとして、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネントの更新プロセスは、新バージョンへの更新、及び旧バージョンの移行完了までの扱いを含む手順とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n・旧バージョンの扱いに関する手続き（例：旧バージョンの移行完了までの扱いに関する手順（リカバリー手順）など）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの更新"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.5.1.1.3","index":112,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.5.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"必要な場合、更新するソフトウェアコンポーネントの整合性又は出所情報を検証、及びソースコードからバイナリをビルドして検証する手順に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアの整合性、出所情報の信頼性、コードとバイナリの一致など、サプライチェーンセキュリティの確証を高めるために、ソフトウェアコンポーネントの更新プロセスは、必要に応じて、整合性及び出所情報を検証し、ソースコードからバイナリをビルドして検証する手順を含むことについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントの更新プロセス定義に関するドキュメント\n\n・（必要な場合）更新するソフトウェアコンポーネントの検証に関する手続き（例：整合性の検証、出所情報の検証、ソースコードからバイナリをビルドして実施する検証）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの更新"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの新バージョンにセキュアに更新するプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.5.1.2.1","index":113,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.5.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"対象ソフトウェアに含まれるソフトウェアコンポーネントの更新時に、定義した更新プロセスを適用した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n対象ソフトウェアに含まれるソフトウェアコンポーネントの更新には、セキュアな更新を実施するために定義したプロセスを適用し、実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントの更新手続きの記録に関するドキュメント\n・ソフトウェアコンポーネントの更新計画、更新結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの更新"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを定義し、導入していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアコンポーネントのバージョン移行を定義したプロセスを導入していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.4.1"}]

{"sheet":"S(2)-1.5.2.1.1","index":114,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.5.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの脆弱性（公知脆弱性を含む）に対し、サプライチェーン上で対応することを決定するための手続きに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアコンポーネントの対応すべき脆弱性情報をサプライチェーン上で共有し、対応することを決定するための手続きについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントの脆弱性情報の共有・対応に関する手続きに関するドキュメント\n・パッチ適用の決定に関する手続き（例：サプライチェーン上での情報共有、サプライチェーン上での脆弱性への対応の決定）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの更新"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入した各ソフトウェアコンポーネントに存在する発見された対応すべき脆弱性を、当該ソフトウェアコンポーネントのサプライチェーン上で情報共有し、迅速なパッチ適用等により対処すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの対応すべき脆弱性情報を、サプライチェーン上で共有する手続きが存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"EU CRA ANNEX I Part II（6）\nNSA Developer 2.3.4\nNSA Supplier 2.4.1\nSP800-218：RV.1.3"}]

{"sheet":"S(2)-1.5.2.1.2","index":115,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-1.5.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントに対するパッチ適用等の対応に関する情報を、サプライチェーン上で受け渡す手続きに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n脆弱性に対応したソフトウェアコンポーネントを、そのソフトウェアコンポーネントを含む対象ソフトウェアの利用者である顧客まで配付するために、必要なパッチ適用等の対応に関する情報をサプライチェーン上で受け渡す手続きを定め、脆弱性情報と修正プログラムの流通を促進することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントのパッチ手続きに関するドキュメント\n・パッチ適用の受け渡しに関する手続き（例：サプライチェーン上でのパッチの生成と配付）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの更新"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアコンポーネントを新しいバージョンにセキュアに更新するプロセスを導入する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入した各ソフトウェアコンポーネントに存在する発見された対応すべき脆弱性を、当該ソフトウェアコンポーネントのサプライチェーン上で情報共有し、迅速なパッチ適用等により対処すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-1.5.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアコンポーネントの対応すべき脆弱性情報を、サプライチェーン上で共有する手続きが存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"EU CRA ANNEX I Part II（6）\nNSA Developer 2.3.4\nNSA Supplier 2.4.1\nSP800-218：RV.1.3"}]

{"sheet":"S(2)-2.1.1.1.1","index":116,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-2.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"対象ソフトウェアの全てのコードベースのリポジトリに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n不正アクセスや改ざんから保護するために、対象ソフトウェアの全てのコードベースをリポジトリに保存することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアのコードベースは、ソースコード、実行可能コード、設定、リソースファイル、コンテナイメージ、コードとしての構成（CaC）など、全ての形式のコードを対象とするほか、オープンソースや言語クラスの部品群、完全性検証情報、出所情報なども対象とする。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードベースのリポジトリに関するドキュメント\n・コードベースのリポジトリへの保存方法に関する記述\n・リポジトリに保存するコードのタイプ（種類、形式）\n・リポジトリへのコードの保存記録の履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードベースの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての形式のコードベースを不正アクセスや改ざんから保護するために、リポジトリにコードや設定情報を保管し、承認された担当者、ツール、サービスなどのみがアクセスできるよう最小権限の原則に基づいたアクセス制御を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての形式のコードベースをリポジトリに保存し、コードの性質に基づき最小限の原則に基づいてアクセスを制限していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：全ての形式のコードベースをリポジトリに保存した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PS.1.1"}]

{"sheet":"S(2)-2.1.1.2.1","index":117,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-2.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードの性質に基づき、承認された担当者、ツール、サービスに絞るなど、コードベースへのアクセスを最小限に制限していることを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n不正アクセスや改ざんから保護するために、対象ソフトウェアの全ての形式のコードベースをリポジトリに保存し、コードの種別に基づき、かつ最小限のアクセスに制限することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nコードの種別によるアクセスの制御方式として、ソースコードや実行可能コードのファイルの正当性や整合性を保護するために暗号化技術（例：コード署名、コミット署名、ハッシュ）などを活用する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コードベースのリポジトリへのアクセス制限に関するドキュメント\n・リポジトリへのアクセス制御方法に関する記述\n・リポジトリへのアクセス制限に関する設定の記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コードベースの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての形式のコードベースを不正アクセスや改ざんから保護するために、リポジトリにコードや設定情報を保管し、承認された担当者、ツール、サービスなどのみがアクセスできるよう最小権限の原則に基づいたアクセス制御を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての形式のコードベースをリポジトリに保存し、コードの性質に基づき最小限の原則に基づいてアクセスを制限していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：コードの性質に基づいてアクセスを制限していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PS.1.1"}]

{"sheet":"S(2)-2.2.1.1.1","index":118,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-2.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリース毎に保持が必要なファイルとサポートデータを脆弱性分析に活用できるようにアーカイブすることに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nリリース後に発見された脆弱性を分析・特定可能とするために、対象ソフトウェアの各リリースのインスタンスのファイルとサポートデータ（完全性検証情報、出所情報など）をアーカイブすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアの各リリースのアーカイブに関するドキュメント\n・アーカイブするインスタンスの構成に関する記述\n・各リリースソフトウェアのアーカイブの情報（例：実行可能なバイナリ、コンテナイメージ、作成方法、格納場所、完全性に関する保護方法、完全性保護に関する情報、出所情報）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリースのアーカイブ"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリース後に発見された脆弱性を分析、特定できるようにするために、各ソフトウェアのリリースをアーカイブ化して保護する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアリリース毎に保持が必要なインスタンスを脆弱性分析に活用できるようにアーカイブし、アクセスを制限していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアの各リリースのインスタンスをアーカイブしていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PS.3.1"}]

{"sheet":"S(2)-2.2.1.2.1","index":119,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-2.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"アーカイブしたインスタンスに対して、データ署名などによる完全性の保証や、最小限のアクセス制限などの保護策を講じることを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nリリース後に発見された脆弱性の分析・特定の対象とするアーカイブインスタンスを管理するために、対象ソフトウェアの各リリースのインスタンスに対して、インスタンスの完全性の保証や最小限のアクセスに制限するなどの保護策を講じることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■アーカイブインスタンスの管理方法に関するドキュメント\n・アーカイブインスタンスへのアクセス制御方法に関する記述\n・アーカイブインスタンスのその他の保護策に関する記述"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリースのアーカイブ"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリース後に発見された脆弱性を分析、特定できるようにするために、各ソフトウェアのリリースをアーカイブ化して保護する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアリリース毎に保持が必要なインスタンスを脆弱性分析に活用できるようにアーカイブし、アクセスを制限していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：アーカイブしたインスタンスに対するアクセスを制限していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PS.3.1"}]

{"sheet":"S(2)-2.3.1.1.1","index":120,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-2.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各リリースの全てのソフトウェアコンポーネントの更新とともに、出所情報を収集・更新することに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集、更新するための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■出所情報の収集に関するドキュメント及び記録\n・収集する出所情報の内容に関する記述（例：コンポーネント名、バージョン情報、提供元情報、依存関係、ライセンス情報、SBOMタイムスタンプ、既知脆弱性情報）\n・出所情報を収集した記録\n・出所情報を更新した場合、その更新した記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリースの出所データの共有"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集・保護する記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PS.3.2"}]

{"sheet":"S(2)-2.3.1.1.2","index":121,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-2.3.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各リリースの全てのソフトウェアコンポーネントの出所情報の整合性を保つ仕組みに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報の整合性を保つための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■出所情報の収集・保護に関するドキュメント\n・出所情報の整合性を保つ仕組みに関する記述（例：各リリースに紐づいたソフトウェアコンポーネントの出所情報の構成管理、コード署名と検証）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリースの出所データの共有"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を収集・保護する記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PS.3.2"}]

{"sheet":"S(2)-2.3.1.2.1","index":122,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-2.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各リリースの全てのソフトウェアコンポーネントの出所情報の記録を維持管理・共有するための手続きや仕組みに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n各リリースに含まれる全てのソフトウェアコンポーネントの出所情報の記録を維持、共有するための手段を講じ、出所情報とその関連データを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■全てのソフトウェアコンポーネントの出所情報の維持管理・共有に関するドキュメント\n・出所情報の維持管理のための手段に関する記述（例：各リリースに紐づいたソフトウェアコンポーネントの出所情報の構成管理）\n・出所情報を開発者・供給者間で共有するための手段に関する記述"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリースの出所データの共有"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各ソフトウェアリリースの全てのコンポーネントの出所データを収集、保護、維持、共有する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報（関連データを含む）を収集、保護、維持、共有していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-2.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアの各リリースに含まれる全てのソフトウェアコンポーネントの出所情報を維持管理・共有していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PS.3.2"}]

{"sheet":"S(2)-3.1.1.1.1","index":123,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-3.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部の事業者などからソフトウェアコンポーネントを手配する場合、要求するセキュリティ要件の合意事項を文書化した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nサードパーティ製のソフトウェアコンポーネント又はサービスを事業者が外部手配する際に、要求するセキュリティ要件を、外部調達先との合意事項とし、文書化することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nサードパーティ製のソフトウェアコンポーネントには、自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む。外部手配するサービスには、開発するソフトウェア又はシステム・サービスの一部となるサービスを含む。\n供給者と運用者は、外部の事業者などと合意するセキュリティ要件が顧客のニーズや要求に適合していることの把握に努める必要がある。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ要件を合意事項とする文書のドキュメント\n・調達要件文書、ソフトウェア契約、その他サードパーティとの合意を約する内容に関する文書"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件の合意"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"事業者が外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を、外部調達先との合意事項とし、文書化していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスに関するセキュリティ要件を合意事項とした文書が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.3"}]

{"sheet":"S(2)-3.1.2.1.1","index":124,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-3.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サプライチェーンセキュリティ要件を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、サプライチェーンセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■サプライチェーンセキュリティ要件に関するドキュメント\n・サプライチェーンセキュリティ方針（例：セキュリティ慣行の遵守状況、出所情報の提出）\n・サプライチェーンセキュリティ要件（例：セキュアコーディングに関する要件、セキュリティチェックに関する要件、脆弱性対応に関する要件、提供形態・提供手段・検証手段に関する要件、SBOM提供に関する要件、サポート内容・期間・条件に関する要件）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件の合意"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：サプライチェーン・リスクを軽減するためのサプライチェーンセキュリティ要件を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.3"}]

{"sheet":"S(2)-3.1.2.2.1","index":125,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-3.1.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部からソフトウェアコンポーネント又はサービスを手配し取得する側の事業者としての手配プロセスの定義に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、手配プロセスを定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントの手配プロセス定義に関するドキュメント\n・ソフトウェアコンポーネントの手配プロセス定義（例：購入用途の明確化、信頼できる配布先選定、契約内容・管理状態の良い供給者へのインセンティブ付与などの手順）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件の合意"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアコンポーネントの手配プロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.3"}]

{"sheet":"S(2)-3.1.2.3.1","index":126,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-3.1.2.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"供給者からエビデンスを取得し、サプライチェーンセキュリティ要件への対応状況を確認した記録に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアコンポーネント又はサービスを事業者が外部手配する際には、サプライチェーン・リスクを軽減するために、定義した手配プロセスに従ってソフトウェアコンポーネントを手配すること、及び定義したサプライチェーンセキュリティ要件に従って必要なエビデンスを取得することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■手配プロセスを実施した記録\n・手配プロセスに基づいて手配を実施した記録\n・供給者が提示したエビデンス（例：セキュリティ慣行の遵守状況、出所情報の提出）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件の合意"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"IT 製品（自社のソフトウェアで再利用するための商用ソフトウェアコンポーネントを含む）又はサービスを提供するサードパーティとの契約又は共有するポリシーに、明示的なセキュリティ要件を盛り込む。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サプライチェーン・リスクを軽減するためのソフトウェアコンポーネントの手配プロセスを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.1.2.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：定義したソフトウェアコンポーネントの手配プロセスを実施した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.3"}]

{"sheet":"S(2)-3.2.1.1.1","index":127,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-3.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"提供先の組織が採用するサプライチェーンセキュリティ要件への対応、又はこれに準じることを合意事項とした資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： ソフトウェアコンポーネント又はサービスを提供する側の事業者の場合、提供先のサプライチェーンセキュリティ要件又はこの要件に準じることを合意し対応することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n供給者は、提供先の組織が採用するサプライチェーンセキュリティ要件に適合していることの把握に努める必要がある。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■合意したサプライチェーンセキュリティ要件に関するドキュメント\n・合意したサプライチェーンセキュリティ要件（例：セキュアコーディングに関する要件、セキュリティチェックに関する要件、脆弱性対応に関する要件、提供形態・提供手段・検証手段に関する要件、SBOM提供に関する要件、サポート内容・期間・条件に関する要件）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サプライチェーンセキュリティ要求への対応\t"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"提供するIT 製品又はサービスを受領・取得する組織が採用するサプライチェーンセキュリティ要件と同等のサプライチェーンセキュリティ要件に対応する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"IT製品又はサービスを提供する場合、提供先の組織が採用するサプライチェーンセキュリティ要件に対応又は準じていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：サプライチェーン・リスクを低減するためのサプライチェーンセキュリティ要件又はこの要件に準じることに合意した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.3、PW.4.4"}]

{"sheet":"S(2)-3.3.1.1.1","index":128,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-3.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部手配のソフトウェアコンポーネントが提示したセキュリティ要件を満たせない場合のリスク対処プロセスを定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアコンポーネントを外部手配する場合、満たせないセキュリティ要件がある場合のリスクへの対処プロセスを整備し、サプライチェーン・リスクを軽減することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nリスク対処プロセスには、要件に対して承認されたすべての例外の定期的なレビューを含む。\nリスク対処プロセスに従い、当該ソフトウェアコンポーネントを外部手配しないことを決定した場合、個別要求(2).1-2にしたがい、安全性の高いソフトウェアコンポーネントを社内で開発、維持する等の代替策を策定する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアコンポーネントの外部手配におけるリスク対処プロセスの定義に関するドキュメント\n・ソフトウェアコンポーネントの外部手配に関するリスク対処方針及び手続き（例：承認された例外の定期的又は継続的なレビュー）\n・サプライチェーン・リスクを軽減するための取得戦略、取得方法に関する規定（例：購入用途を明確化しない、信頼できる配布先の選定、契約内容及び管理状態の良い供給者へのインセンティブ付与）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件を満たさないリスクへの対処プロセスの整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"受領・取得するサードパーティ製のIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクに対処するプロセスを整備する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"事業者が外部手配するソフトウェアコンポーネントとしてのIT 製品又はサービスが満たさないセキュリティ要件がある場合のリスクへの対処プロセスを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-3.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：外部手配するソフトウェアコンポーネントとしてのIT製品又はサービスが満たせないセキュリティ要件がある場合のリスク対処プロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.3、PW.4.2"}]

{"sheet":"S(2)-4.1.1.1.1","index":129,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-4.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む管理者向けガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアをインストール・設定する際にセキュアな構成とするための方法（セキュアデフォルトプロセスに従って実装したソフトウェアのデフォルト設定、各設定の目的、デフォルト値、セキュリティ関連性、設定変更の影響、他設定との関係等を含む）に関する管理者向けガイダンスを作成し、調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアなデフォルト設定に関する管理者向けガイダンス\n・調達者に提供する管理者向けガイダンス（例：ソフトウェアのデフォルト設定、各設定の目的、デフォルト値、設定とセキュリティとの関連性、設定変更の影響、他の設定との関係）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな導入・設定・操作・変更・廃棄・終了"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：実装したセキュアなデフォルト設定に関する管理者向けガイダンスを文書化し、調達者に提供していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.2"}]

{"sheet":"S(2)-4.1.1.2.1","index":130,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-4.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのセキュアな導入・設定（セキュアなデフォルト設定以外も含む）、操作、廃棄を含むガイダンスを文書化し、調達者に提供することを定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアをインストール・設定する際にセキュアな構成とするための方法（セキュアなデフォルト設定以外）、ソフトウェアをセキュアに操作するための方法、及びソフトウェアを廃棄する際のセキュアな手続きなどに関する管理者及び利用者向けガイダンスを作成し、調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアのセキュアな導入・設定・操作・廃棄に関する管理者及び利用者向けガイダンス\n・調達者に提供する管理者向けガイダンス（例：セキュアな導入・設定（セキュアなデフォルト設定以外も含む））\n・調達者に提供する利用者向けガイダンス（例：ソフトウェアの操作、ソフトウェアの廃棄時（EOL/EOS時又は利用終了時）の対応）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな導入・設定・操作・変更・廃棄・終了"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアのセキュアな導入・設定・操作・廃棄に関するガイダンスを文書化し、調達者に提供していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.2"}]

{"sheet":"S(2)-4.1.1.2.2","index":131,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-4.1.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、継続的に更新したガイダンスを提供することを定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアの実装及び/又はガイダンス内容にセキュリティに関連する変更がある場合、ソフトウェアのデフォルト設定、セキュアな導入・設定、操作、廃棄を含む管理者及び利用者向けガイダンスを更新し、更新したガイダンスを調達者に提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアの管理者及び利用者向けガイダンスの提供の手続きに関するドキュメント\n\n・管理者及び利用者ガイダンスの更新を継続的に提供する手続き"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな導入・設定・操作・変更・廃棄・終了"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアなデフォルト設定を実装し、ソフトウェアの管理者向けのガイダンスを提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェアのセキュアな導入・設定・操作・廃棄に関するガイダンスを文書化し、調達者に提供していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.2"}]

{"sheet":"S(2)-4.1.2.1.1","index":132,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-4.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスに関して、製品・サービスの販売終了（EOS）/製品・サービスのライフサイクル終了（保守やサポートの終了、EOL）に関する情報を調達者に継続的に提供又は伝達することを定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのサポート内容、及びEOS/EOLに関する情報を、継続的に調達者に提供又は伝達することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェア及びシステム・サービスのサポート内容、及びサポート終了予定日を調達者に提供又は伝達することを定めたドキュメント\n・サポート内容及びEOS/EOL関連の情報の提供に関する方針\n・提供する情報の項目"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな導入・設定・操作・変更・廃棄・終了"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスの提供とともに、製品サポート内容、サポート終了予定日を調達者に継続的に伝達していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：製品サポート内容・サポート終了予定日を調達者に継続的に伝達していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.2"}]

{"sheet":"S(2)-4.1.2.1.2","index":133,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-4.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を、調達者に継続的に提供又は伝達することを定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのサポート内容、及び必要に応じて変更の影響や廃棄・提供終了・利用終了に関する情報を、継続的に調達者に提供又は伝達することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n変更の影響に関する情報とは、提供するソフトウェア及び/又はシステム・サービスの更新を行う場合に、受領側がその変更に応じて必要となる対応などの情報が考えられる。また廃棄に関する情報とは、ソフトウェア及び/又はシステム・サービスのEOS/EOLまでに受領側が実施すべき事項（関連するデータの退避・保存など）に関する情報が考えられる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェア及びシステム・サービスの変更の影響や廃棄・提供終了・利用終了に関する情報を調達者に提供又は伝達することを定めたドキュメント\n・変更の影響・提供終了・利用終了に関する情報の提供に関する方針\n・提供する情報の項目"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな導入・設定・操作・変更・廃棄・終了"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアをセキュアに導入・設定・操作するための情報、及び変更の影響・廃棄・提供終了・利用終了に係る情報をソフトウェア利用者が継続的に利用できるようにする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びシステム・サービスの提供とともに、製品サポート内容、サポート終了予定日を調達者に継続的に伝達していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：製品サポート内容・サポート終了予定日を調達者に継続的に伝達していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PW.9.2"}]

{"sheet":"S(2)-4.2.1.1.1","index":134,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-4.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを配付する際、及び継続的に、ソフトウェアの整合性・完全性が確保されていることを検証するための情報を、ソフトウェア本体とは別の手段で、調達者に提供することを定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア配付における流通経路上の保護対策として、ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェア配付における流通経路上の保護の対策に関するドキュメント\n・リリースファイルの整合性の保護対策の記述（例：リリースノートなどによるバージョン情報、情報提供方法、構成情報、履歴情報の提示）\n・リリースファイルの完全性の保護対策の記述（例：暗号化ハッシュ（ハッシュ値含む）、コード署名（署名検証情報含む））\n・サービスのなりすまし対策の記述（例：証明書）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"整合性検証情報の提供"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"供給者から顧客への流通経路においてソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアの整合性・完全性が確保されていることを検証するための情報を提供していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PS.2.1"}]

{"sheet":"S(2)-4.2.2.1.1","index":135,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(2)-4.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを供給者から顧客へセキュアに配付する配付システムの整備に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの配付における通信経路上の保護対策として、ソフトウェアの配付をセキュアに行うメカニズムを具備した配付システムを整備し、顧客が安全に利用できるようにするために保護対策を講じることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアの配付システムにおける保護の対策に関するドキュメント\n・セキュアな配布メカニズムを実現する配付システム（例：自動更新システム）\n・配付システムの保護対策（例：信頼できる認証局をコード署名に使用、コード署名プロセスの定期的又は継続的な見直し、その他の署名環境の保護対策）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"整合性検証情報の提供"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの整合性・完全性の検証に必要な情報をソフトウェア利用者が継続的に利用できるようにする。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのセキュアな配付メカニズムを整備し、その保護対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(2)-4.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアのセキュアな配付メカニズムを整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PS.2.1"}]

{"sheet":"S(3)-1.1.1.1.1","index":136,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正の基本方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアの脆弱性が発見された際に、その開示と是正を実施するための基本的な方針を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応に関する基本方針を定めたドキュメント\n・脆弱性の開示の方針\n・脆弱性の是正の方針"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応体制の設置"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正に対処するポリシーを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性の開示と是正に関するポリシー文書が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.3"}]

{"sheet":"S(3)-1.1.1.1.2","index":137,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正の基本方針に加えて、脆弱性対応プロセス改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いの各方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアの脆弱性が発見された際に、その開示と是正を実施するためのポリシー（方針）に、脆弱性対応プロセスの改善、継続的な対応訓練の実施、報告者とのコミュニケーション、及び報告情報の取扱いに関する方針を含めることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応に関するポリシー（方針）を定めたドキュメント\n・脆弱性対応プロセスの改善の方針\n・定期的な脆弱性対応訓練の方針\n・脆弱性報告の対話方針（例：受付、連絡方法）\n・報告情報の取扱いの方針（例：報告者保護（免責事項、機密保持等））"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応体制の設置"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正に対処するポリシーを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性の開示と是正に関するポリシー文書が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.3"}]

{"sheet":"S(3)-1.1.2.1.1","index":138,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応に関する担当者を任命していることがわかる資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための担当者を任命することについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応に関する体制を定義したドキュメント\n・担当部署、担当者が任命されていることを示す記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応体制の設置"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性対応に関する対応体制を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.3"}]

{"sheet":"S(3)-1.1.2.1.2","index":139,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応を専門とする組織体制を設置していることがわかる資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための体制を組織の規程や手順書等で定義し、整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応に関する体制を定義したドキュメント\n・専門体制の設置に関する規程（例：PSIRT）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応体制の設置"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性対応に関する対応体制を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.3"}]

{"sheet":"S(3)-1.1.2.2.1","index":140,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.1.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応に関わる担当者の役割と責務を定義している資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための役割と責務を組織の規程や手順書等で定義し、整備していることについて、責務として適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応における各部署・担当者の役割と責務を定めたドキュメント\n・全ての役割と責務の一覧"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応体制の設置"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：脆弱性対応に関する役割と責務を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.3"}]

{"sheet":"S(3)-1.1.2.3.1","index":141,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.1.2.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報を入手してから対処するまでの一連のプロセスに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するためのプロセスを組織の規程や手順書等で定義し、整備していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応の各段階の定義（例：情報の収集、分析、トリアージ、対策、情報の公開）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応体制の設置"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：脆弱性対応に関するプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.3"}]

{"sheet":"S(3)-1.1.2.3.2","index":142,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.1.2.3.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応の一連のプロセスにおける具体的な手順を定義している資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n定義した脆弱性対応に関するポリシーを実行するための一連のプロセスにおける具体的な手順書を定義し、整備していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応の各段階（例：情報の収集、分析、トリアージ、対策、情報の公開）における具体的な作業手順や判断基準"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応体制の設置"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：脆弱性対応に関するプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.3"}]

{"sheet":"S(3)-1.1.2.3.3","index":143,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.1.2.3.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応演習や脆弱性対応プロセスの見直しに関する資料がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n定義したポリシーの実効性を高めるため、脆弱性対応演習や脆弱性対応プロセスを見直す仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応に関するプロセスを定義したドキュメント\n・脆弱性対応演習に関する規定\n・脆弱性対応プロセスの見直しに関する規定"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応体制の設置"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品の脆弱性の開示と是正に対処するポリシーを定め、そのポリシーをサポートするための脆弱性対応（インシデント対応を含む）に関する体制を設置し、必要な役割、責務、プロセスを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示と是正に対処するポリシーをサポートする対応体制、及び役割・責務・プロセスを定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.1.2.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：脆弱性対応に関するプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.3"}]

{"sheet":"S(3)-1.2.1.1.1","index":144,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応に関する一連のプロセスにおいて、利害関係者とのコミュニケーションに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n脆弱性対応に関するコミュニケーション計画を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n脆弱性の取扱に関するコミュニケーション計画には、誰が、誰に、何を、いつ、どのように連絡するかが含まれているかを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応に関するコミュニケーション計画のドキュメント\n・コミュニケーションに関する計画（例：役割、対象、内容、タイミング、方法、連絡体制）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニケーション計画"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての利害関係者に対するコミュニケーション計画を定める。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性対応に関するコミュニケーション計画が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1, RV.1.3"}]

{"sheet":"S(3)-1.2.1.1.2","index":145,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の深刻度に応じた手順やサービスレベルを含む詳細なコミュニケーション計画に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n脆弱性対応に関する詳細なコミュニケーション計画を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nステークホルダーや脆弱性の深刻度等に応じた詳細なコミュニケーション計画が策定されていることを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対応に関するコミュニケーション計画のドキュメント\n・ステークホルダー別（例：脆弱性報告者、製品・サービスの利用者、サプライチェーンパートナー、監督官庁）のコミュニケーションに関する計画（例：役割、対象、内容、タイミング、方法、連絡体制）\n・脆弱性の深刻度（例：CVSSスコア）や影響範囲に応じて、コミュニケーションの対象、公開内容、公開タイミング等を定めた計画\n・関係者への一次応答時間、調査状況の定期的な連絡頻度など、コミュニケーションに関する具体的なサービスレベル"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニケーション計画"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての利害関係者に対するコミュニケーション計画を定める。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性対応に関するコミュニケーション計画が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1, RV.1.3"}]

{"sheet":"S(3)-1.2.1.2.1","index":146,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付けるための連絡先を公開している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n脆弱性対応に関するコミュニケーションの一環として、外部のセキュリティ分析者や利用者等が発見した脆弱性の報告を受け付ける際に必要な連絡先を公開することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織のウェブサイト等を実際に確認し、脆弱性報告の窓口が利用者にわかりやすく提供されているかを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コミュニケーションチャネルのドキュメント\n・脆弱性報告窓口（窓口情報が記載されたウェブページ、ウェブフォーム、専用メールアドレス等）、及びその窓口情報を公開する記述（組織のウェブサイト、製品ドキュメント等）\n・セキュリティアドバイザリ、注意喚起情報（掲載されたウェブページ等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニケーション計画"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての利害関係者に対するコミュニケーション計画を定める。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：コミュニケーションチャネルを整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1, RV.1.3"}]

{"sheet":"S(3)-1.2.1.2.2","index":147,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.2.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報やセキュリティ勧告を公開する手段を利用者向けに整備している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n脆弱性の取扱に関するコミュニケーションの一環として、公開コミュニケーションチャネルを通じて、脆弱性情報やセキュリティ勧告を公開する手段を整備し、利用者が容易にアクセスできるような状態とすることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織のウェブサイト等を実際に確認し、脆弱性の情報公開の場が利用者にわかりやすく提供されているかを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コミュニケーションチャネルのドキュメント\n・脆弱性報告窓口（窓口情報が記載されたウェブページ、ウェブフォーム、専用メールアドレス等）、及びその窓口情報を公開する記述（組織のウェブサイト、製品ドキュメント等）\n・セキュリティアドバイザリ、注意喚起情報（掲載されたウェブページ等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニケーション計画"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての利害関係者に対するコミュニケーション計画を定める。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の開示、脆弱性の報告、インシデント対応時のコミュニケーションを考慮した、脆弱性対応に関する全利害関係者向けコミュニケーション計画を整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：コミュニケーションチャネルを整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1, RV.1.3"}]

{"sheet":"S(3)-1.3.1.1.1","index":148,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"公的もしくは外部サービスとして提供される公知脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関連する脆弱性情報を収集した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nJVNやNVD等の公開もしくは外部サービスとして提供される脆弱性情報データベースを継続的に監視し、ソフトウェア及びそのコンポーネントに関する脆弱性情報を収集するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合、設計・開発段階における脆弱性情報の監視・収集など、そのフェーズで対応すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性情報の監視・収集手続き及び結果のドキュメント\n・監視対象とする基本的な情報源のリスト（例：JVN、NVD）\n・収集した公知脆弱性の情報（例：脆弱性データベース、メーリングリスト、各種レポート）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報の収集"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：公知の脆弱性情報源及び脅威インテリジェンスの監視結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1"}]

{"sheet":"S(3)-1.3.1.1.2","index":149,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.3.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"公知情報源に加え、外部の脅威インテリジェンスサービスや所属するISAC等、複数の情報源から情報を収集した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n外部の脅威インテリジェンスサービス等、複数の情報源から、ソフトウェア及びそのコンポーネントに関する脆弱性情報を継続的に収集するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合、設計・開発段階における脆弱性情報の監視・収集など、そのフェーズで対応すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性情報の監視・収集手続き及び結果のドキュメント\n・監視対象とする情報源のリスト（例：利用している商用サービス名、加盟ISAC名など）\n・収集した脆弱性の情報（例：脅威インテリジェンスからのレポート等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報の収集"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：公知の脆弱性情報源及び脅威インテリジェンスの監視結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1"}]

{"sheet":"S(3)-1.3.1.2.1","index":150,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアコンポーネントの供給元（サプライヤー）から脆弱性情報を受け取った記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア及びそのコンポーネントに関する脆弱性情報を、サプライチェーンやソフトウェア調達者等から受領するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合（この場合は、サプライチェーンからの脆弱性情報の通知はないと考えられる）、サプライヤーからの情報収集窓口等を整理した、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■サプライチェーンから脆弱性情報を受領した結果に関するドキュメント\n・サプライヤーのセキュリティ連絡先\n・（受領済の場合）サプライヤーからの脆弱性情報"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報の収集"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：サプライチェーンからの脆弱性情報を受領した結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1"}]

{"sheet":"S(3)-1.3.1.3.1","index":151,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.3.1.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応に関するコミュニケーション計画に則り、脆弱性報告窓口として公開したチャネルから脆弱性情報を収集した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア及びそのコンポーネントに関する脆弱性情報を、脆弱性報告窓口を通じて利害関係者から受領するためのプロセスを定め、実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のリリース前の段階である場合（この場合は、脆弱性情報の通知はないと考えられる）、情報収集窓口等を整理した、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性報告窓口から脆弱性情報を受領した結果に関するドキュメント\n・公開した脆弱性報告窓口から受領した脆弱性情報（ソフトウェア調達者及び利用者、外部のセキュリティ研究者等からの報告を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報の収集"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア調達者及び利用者、公開情報源、脅威インテリジェンスを監視していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：ソフトウェア調達者及び利用者からの脆弱性情報を受領した結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1"}]

{"sheet":"S(3)-1.3.2.1.1","index":152,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.3.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを構成するコンポーネント（特にライブラリなどのサードパーティ製コンポーネント）の名称とバージョンを含む一覧に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n脆弱性の分析に必要となる脆弱性情報を収集するため、ソフトウェアを構成するコンポーネントの基本的な情報を特定し、管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアを構成するコンポーネントのリストが存在することを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■潜在的脆弱性情報を収集すべき対象を整理したドキュメント\n・ソフトウェアを構成するコンポーネントの一覧（例：管理台帳、スプレッドシート）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報の収集"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：収集対象のコンポーネントを特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1"}]

{"sheet":"S(3)-1.3.2.1.2","index":153,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.3.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コンポーネント構成のトレーサビリティに関する情報の生成・更新プロセスを自動化または半自動化する環境を整備している場合、SBOMなどの標準的な形式の構成情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n脆弱性の分析に必要となる脆弱性情報を収集するため、ソフトウェアのコンポーネント構成のトレーサビリティに関する情報を正確かつ効率的に特定し、管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nSBOM等の標準形式を活用した構成管理の自動化・継続的な実施を確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■潜在的脆弱性情報を収集すべき対象を整理したドキュメント\n・ソフトウェアを構成するコンポーネントの一覧（例：SBOMファイル（例：CycloneDX、SPDX形式））"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報の収集"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：収集対象のコンポーネントを特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1"}]

{"sheet":"S(3)-1.3.2.2.1","index":154,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.3.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コンポーネントの構成情報を利用した探索・分析に基づき、潜在的脆弱性の有無を確認した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのコンポーネントの構成情報を用いて脆弱性情報の探索・分析を行い、ソフトウェアに対する潜在的な脆弱性の有無を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■潜在的脆弱性情報を収集した結果に関するドキュメント\n・特定したソフトウェアコンポーネントの構成情報の分析に基づいて収集した脆弱性情報"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報の収集"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"公知情報の探索、ソフトウェア利用者からの通知、外部脅威情報の取得、システム構成データのレビュー、その他の方法を通じて、新たな脆弱性情報を収集する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"システム構成データを活用し、ソフトウェア及び使用するサードパーティコンポーネントの分析を通じて、新たな潜在的脆弱性情報を収集していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.3.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：特定したコンポーネント分析から潜在的脆弱性情報を収集した結果が存在する。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.1"}]

{"sheet":"S(3)-1.4.1.1.1","index":155,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.4.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリース後のソフトウェアのコンポーネント構成情報と、収集した公知脆弱性情報とを突合し、影響を受ける可能性のある脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある、今まで未検出であった潜在的な脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的又は定期的に脆弱性を特定・確認するために、公知脆弱性情報との突合を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n「継続的又は定期的」とは、開発・運用するソフトウェアのリスクレベルや特性に応じて、組織が定めた頻度（例：年次、四半期毎、リリース毎や新たな脅威や技術環境の変化のタイミングなど）での実施を指す。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・公知脆弱性情報に基づく潜在的脆弱性の特定に関する継続的又は定期的な活動のための手続\n・公知脆弱性情報に基づく潜在的脆弱性の特定に関する活動の記録（特定した対処すべき脆弱性の記述を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"未検出の脆弱性の特定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2"}]

{"sheet":"S(3)-1.4.1.1.2","index":156,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.4.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リリース後のソフトウェアのコンポーネント構成情報と収集した脆弱性情報を活用し、コードとコンポーネントに対するレビュー、分析、テストの複数の手法を用いた、潜在的脆弱性を特定するための活動を、継続的又は定期的に実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある、今まで未検出であった潜在的な脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的又は定期的に脆弱性を特定・確認するための活動（静的テスト（コードレビュー、静的解析ツールの利用など）とドキュメントのレビューを組み合わせるなど、レビュー、分析、テストの複数の手法を用いた脆弱性を特定するための調査など）を、組織内で定義されたプロセスと整合した計画に基づき実施していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n「継続的又は定期的」とは、開発・運用するソフトウェアのリスクレベルや特性に応じて、組織が定めた頻度（例：年次、四半期毎、リリース毎や新たな脅威や技術環境の変化のタイミングなど）での実施を指す。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・レビュー、分析、テストに基づく潜在的脆弱性の特定に関する継続的又は定期的な活動のための手続\n・レビュー、分析、テストに基づく潜在的脆弱性の特定に関する活動の記録（特定した対処すべき脆弱性の記述を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"未検出の脆弱性の特定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2"}]

{"sheet":"S(3)-1.4.1.1.3","index":157,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-1.4.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性を特定・確認するための活動の対象として、ソースコードだけでなく、設定ファイルや実行可能コードも考慮した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアに影響を及ぼす可能性のある脆弱性を特定するため、開発したソフトウェアのリリース後も、継続的に脆弱性を特定・確認するための活動（レビュー、分析、テスト）において、対象として設定ファイルや実行可能コードも考慮していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■継続的又は定期的な潜在的脆弱性の特定に関するドキュメント\n・潜在的脆弱性の特定に関する活動の記録（対象として、設定ファイル、実行可能コードを含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"未検出の脆弱性の特定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"継続的又は定期的に、ソフトウェアのコードのレビュー、分析、テストを実施し、今まで未検出の対処すべき脆弱性（不適切な設定などを含む）を特定する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"以前に検出されなかった脆弱性を特定するため、ソフトウェアのコードとコンポーネントを対象とした継続的又は定期的なレビュー、分析、テストを実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-1.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアのコードとコンポーネントに対する定期的なレビュー、分析、テストを実施した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.2, PW.7.1, PW.7.2, PW.8.1, PW.8.2"}]

{"sheet":"S(3)-2.1.1.1.1","index":158,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"収集し識別した脆弱性について、対象ソフトウェアへの影響を判断するために必要な情報を更に収集していることがわかる基本的な資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n収集した脆弱性情報のうちリスクへの影響が懸念されるものとして識別した脆弱性について、その脆弱性がもたらすリスクを分析し、修正等の対応計画を検討するために、必要な情報を収集していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本項目は、脆弱性情報を広く監視する定常的な活動（S(3)-1.3で評価）とは異なり、特定の脆弱性に対する詳細な調査活動そのものを評価対象とする。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■各脆弱性への対応に必要な情報のドキュメント\n・収集し識別した脆弱性に関する情報（例：悪用方法、前提条件）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の分析"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各脆弱性を分析、是正またはその他のリスク対応計画を検討するための十分な情報を収集していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：収集し識別した脆弱性について、リスク分析や対応計画の検討に必要な情報が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.1"}]

{"sheet":"S(3)-2.1.2.1.1","index":159,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"収集し特定された脆弱性情報、及びその影響を判断するために収集した情報を前提として、脆弱性の深刻度及び影響の定性的な評価に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、その脆弱性がもたらすリスクを評価するための分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、脆弱性が該当しないと考えられる）、当該段階において実施すべき手順など、現状あるべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性の影響分析のドキュメント\n・識別した脆弱性の深刻度及び影響を評価及び分析するための手続き\n・識別した脆弱性の悪用可能性の評価（影響）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の分析"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.1"}]

{"sheet":"S(3)-2.1.2.1.2","index":160,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"CVSS等の標準的な評価基準を用いた深刻度に関する定量的な評価に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、その脆弱性がもたらすリスクを評価するための定量的な分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価者は、各脆弱性に関する分析結果が、客観的な根拠に基づいて記録されていることを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性の影響分析のドキュメント\n・識別した脆弱性の悪用可能性の定量的評価（深刻度）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の分析"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.1"}]

{"sheet":"S(3)-2.1.2.1.3","index":161,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.1.2.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"攻撃コードの有無や悪用実績などを考慮して脆弱性がもたらす使用環境における実際のリスクを分析した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n収集し特定された脆弱性情報、及びS(3)-2.1.1において詳細情報が収集された個々の脆弱性について、ソフトウェアの使用環境を踏まえてその脆弱性がもたらすリスク（例：導入済みの緩和策の考慮）を評価するための分析を、組織内で定められた手続きに従って実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性の影響分析のドキュメント\n・識別した脆弱性の悪用可能性の評価及び分析結果（例：脆弱性がもたらす使用環境における機密性、完全性、可用性への影響）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の分析"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、残存する各脆弱性の影響に伴うリスクを把握するために必要な情報を収集し、是正又はその他のリスク対応を計画するために、各脆弱性を分析する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各脆弱性について、使用環境における悪用可能性、悪用による影響等の分析を実行していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：識別した脆弱性の深刻度、影響の評価及び分析結果が存在していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.1"}]

{"sheet":"S(3)-2.2.1.1.1","index":162,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"識別した脆弱性に対する対応方針及び優先順位付けに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n識別した脆弱性に対し、是正、軽減、リスク受容といった対応方針と優先度を決定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性の対処方針を示すドキュメント\n・脆弱性への対応方針（例：是正、軽減、リスク受容）及び優先順位付け"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性へのリスク対応"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、各脆弱性に対するリスク対応を計画し、実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスク分析・評価の結果に基づく脆弱性への対応方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.2.1.1.2","index":163,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の深刻度（CVSS等）や事業への影響度等を考慮したリスク評価に基づく、対応方針の策定根拠に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n識別した脆弱性に対し、脆弱性の深刻度や事業への影響度等を考慮したリスク分析・評価を行い、その結果に基づいて、是正、軽減、リスク受容といった対応方針を決定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性の分析・評価に基づく対処方針を示すドキュメント\n・評価結果に基づく脆弱性への対応方針（是正、軽減、リスク受容等）及び優先順位付け\n・対応方針の策定根拠（例：対応、受容等の効果判定）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性へのリスク対応"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、各脆弱性に対するリスク対応を計画し、実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスク分析・評価の結果に基づく脆弱性への対応方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.2.1.2.1","index":164,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"対応方針が決定された脆弱性について、対応計画に関する資料がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n識別した脆弱性に対し、対応計画を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性への対応計画に関するドキュメント\n・対応計画（例：担当者、対応方法、対応スケジュール）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性へのリスク対応"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、各脆弱性に対するリスク対応を計画し、実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：決定した対応方針に基づく対応計画が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.2.1.2.2","index":165,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.2.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"対応の緊急度（例：緊急、高、中、低）に基づく具体的な対応計画に関する資料がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n識別した脆弱性に対し、対応方針に従って優先順位を付け、具体的な対応計画を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n本確認項目はあくまで「計画策定」を評価するものであり、対策の「実装完了」までは問わない。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性への対応計画に関するドキュメント\n・対応計画（例：担当者、対応方法、対応スケジュール、緊急度に基づく対応期限）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性へのリスク対応"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、各脆弱性に対するリスク対応を計画し、実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各脆弱性について、リスクベースでの評価に基づき対応方針を決定し、優先順位付けを行った上で対応計画を策定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：決定した対応方針に基づく対応計画が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.2.2.1.1","index":166,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"識別した脆弱性に対して策定した対応計画に従ってリスク対応を実施したことを示す記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n策定した対応計画に従って、識別した脆弱性へのリスク対応アクションを実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nリスク受容など具体的な対応を実施しない場合は、評価を割愛できる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■リスク対応の実施結果のドキュメント\n・リスク対応の実施結果（例：パッチ準備、対応内容を含むリリースノート、変更履歴、設定変更の通知準備）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性へのリスク対応"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、各脆弱性に対するリスク対応を計画し、実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"決定した対応アクションを実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：識別した脆弱性に対するリスク対応を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.2.2.2.1","index":167,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.2.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性対応の実装後に、その対応内容を確認するためのテスト又は検証を実施した結果に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n策定した対応計画に従って、識別した脆弱性へのリスク対応アクションとして何らかの実装が行われた場合、その実装が意図通りに残存する脆弱性を解消し、かつ他の悪影響を生まないことを確認したテスト・検証活動を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n実装を伴わない場合には、評価を割愛できる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■実装後のテスト結果のドキュメント\n・脆弱性対応の実装に関するテスト計画、テスト結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性へのリスク対応"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、各脆弱性に対するリスク対応を計画し、実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"決定した対応アクションを実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.2.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：脆弱性対応の実装後のテスト・検証結果が文書化されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.3.1.1.1","index":168,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発者として、識別し対応内容を検証済みとした脆弱性に関するセキュリティ勧告を作成していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、勧告が発行されていない場合であっても、勧告の発行と提供に関する手続きが文書で定められていることを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ勧告に関するドキュメント\n・発行済みのセキュリティ勧告（脆弱性の内容、影響を受ける製品やバージョン、深刻度、考えられる影響、対処方法（例：パッチの入手先、パッチ適用方法、変更すべき構成設定、暫定的な回避策）を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ勧告"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告を作成し、ソフトウェアの供給先に提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ勧告が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.3.1.2.1","index":169,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの供給先へセキュリティ勧告を提供するための手続があり、それに従って提供した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n開発者として、識別し対応内容を検証済みとした脆弱性に関するセキュリティ勧告をソフトウェアの供給先に提供するプロセスを確立し、運用していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ勧告の提供プロセスに関するドキュメント\n・セキュリティ勧告の発行に関する手続き（実施手順（例：ウェブサイトの公開、メール通知）、発行基準など）\n・セキュリティ勧告の公開記録（例：ウェブサイトの公開履歴のスクリーンショット、メールの送信ログ、ポータルサイトへの掲載記録など、提供の事実を示す記録）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ勧告"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、脆弱性の内容、影響範囲、対処に必要な情報を含むセキュリティ勧告を作成し、ソフトウェアの供給先に提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティ勧告を供給先に提供するプロセスに従って提供していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.3.2.1.1","index":170,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.3.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性届出制度から情報提供を受けた際の対応について、情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続きに基づく対応手順に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n脆弱性届出制度に基づいて脆弱性情報の提供を受けた際の対応手順が、情報セキュリティ早期警戒パートナーシップガイドラインに準拠して定義され、その手順に従って実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（情報セキュリティ早期警戒パートナーシップガイドラインに準拠した手続き）に準拠した対応手順が文書で定められていることを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性の対処に関するドキュメント\n・情報セキュリティ早期警戒パートナーシップガイドラインに準拠した脆弱性対応に関する手順の記述\n・脆弱性届出制度から情報提供を受けた際の対応の記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ勧告"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性届出制度に基づいて情報提供を受けた脆弱性については、情報セキュリティ早期警戒パートナーシップガイドラインを踏まえた対応を行っていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性届出制度から情報提供を受けた際の対応手順が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.1.3"}]

{"sheet":"S(3)-2.3.3.1.1","index":171,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.3.3.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者や供給者等から発行されたセキュリティ勧告を受領し、影響評価を行った資料や記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告を受領し、その勧告に従う場合の影響を評価していることについて、責務として認識し適切に実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（セキュリティ勧告に基づく影響評価）に準拠した対応手順が文書で定められていることを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ勧告の影響評価に関するドキュメント\n・セキュリティ勧告の影響評価結果（例：ソフトウェアの利用、関連システムの運用、組織への影響）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ勧告"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、セキュリティ勧告にしたがった対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.3.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ勧告の影響評価の結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.3.3.1.2","index":172,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.3.3.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"代替策の実施やリスク受容等を承認する根拠となる資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告の評価に基づき、対策を実施しない（リスク受容）判断を行った場合、根拠に基づき代替策を承認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n評価時点で該当する脆弱性がなく、対応が実施されていない場合であっても、当該手続き（セキュリティ勧告に従わない場合の対応、及びその承認に関する手続き）に準拠した対応手順が文書で定められていることを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ勧告の影響評価に関するドキュメント\n・セキュリティ勧告に従った対応策以外の代替策の根拠情報"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ勧告"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、セキュリティ勧告にしたがった対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.3.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ勧告の影響評価の結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.3.3.2.1","index":173,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.3.3.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ勧告の影響評価の結果に基づく、対策（例：パッチの配備、設定変更）の計画の資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告に関する影響評価の結果に基づき、対策（パッチの配備等）を計画・実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ勧告への対応計画に関するドキュメント\n・セキュリティ対策の達成手段（例：パッチ、設定変更、代替策の実施）の実施計画"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ勧告"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、セキュリティ勧告にしたがった対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.3.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：評価結果に基づく対策の計画と実施結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-2.3.3.2.2","index":174,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-2.3.3.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者として対策を適用する前に、事前検証を実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n運用者として、開発者や供給者等から発行されたセキュリティ勧告に基づく対策（パッチの配備等）を実施する前に、事前検証を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対策の実施だけでなく、対策を実施しない（リスク受容）判断についてもその承認に十分な根拠情報を確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ勧告への対応時の事前検証に関するドキュメント\n・セキュリティ対策の検証結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ勧告"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発者は、セキュリティ勧告を作成し、リリースしたソフトウェアの供給先にその情報を提供するとともに、関連する制度の指定にしたがって報告する。また、運用者はセキュリティ勧告にしたがった配備を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者は、セキュリティ勧告にしたがった対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-2.3.3.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：評価結果に基づく対策の計画と実施結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.2.2"}]

{"sheet":"S(3)-3.1.1.1.1","index":175,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-3.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"発見された脆弱性に対して、根本原因を分析・特定した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n発見された脆弱性に対して、その直接的な原因の修正に留まらず、なぜその脆弱性が作り込まれたのかという根本原因を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■根本原因の分析結果に関するドキュメント\n・根本原因の分析結果（特定した根本原因を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"根本原因の特定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性の根本原因を分析・特定した結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.3.1, RV.3.2"}]

{"sheet":"S(3)-3.1.1.1.2","index":176,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-3.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"根本原因を長期にわたり分析するための情報収集の手続きに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n発見された脆弱性に対して、その直接的な原因の修正に留まらず、なぜその脆弱性が作り込まれたのかという根本原因を特定するための情報収集を長期にわたり実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■根本原因の分析結果に関するドキュメント\n・根本原因を長期にわたり分析するための情報収集の手段と手続き（根本原因の発生を自動的又は半自動的に検出する仕組み、一連のプラクティスのパターンに着目した情報収集など）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"根本原因の特定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性の根本原因を分析・特定した結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.3.1, RV.3.2"}]

{"sheet":"S(3)-3.1.1.2.1","index":177,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-3.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"過去に検出された脆弱性の根本原因分析の結果に基づき、同種の脆弱性を組織内の他のソフトウェアから探索・特定し、同種の脆弱性を排除するための活動を計画・実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n発見された複数の脆弱性から共通する組織的な弱点や傾向を特定し、同種の脆弱性が組織内の他のソフトウェアに存在しないかを探索し、その脆弱性の発生頻度を低減する活動（水平展開）を計画・実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性の発生頻度低減活動に関するドキュメント\n・類似脆弱性の探索・特定のための活動計画（例：レビューチェックリスト、テストケース）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"根本原因の特定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"根本原因を決定するために、識別された脆弱性を分析し、プロアクティブに対策する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"発見した脆弱性の分析を通じて根本原因を特定し、推奨される対応策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：脆弱性の発生頻度低減を目的とした活動の計画と実施記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.3.1, RV.3.2"}]

{"sheet":"S(3)-3.2.1.1.1","index":178,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-3.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"根本原因分析に基づき、プロセスや慣行を見直し、更新したプロセスを定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n特定された脆弱性の根本原因が、今後の開発・運用プロセスにおいて再発することを防ぐために、プロセス自体の見直しと改善を適切に計画、実装していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n根本原因の分析結果を起点として、プロセス改善の計画策定、規程類への反映という一連の流れが、文書間で追跡可能であることを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■更新したプロセスを定義したドキュメント\n・改訂された手順書（例：開発標準、コーディング規約、テスト手順書、運用手順書）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"プロセス改善"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：更新したプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.3.4"}]

{"sheet":"S(3)-3.2.1.2.1","index":179,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-3.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"改訂されたプロセスや慣行を、開発者や運用者等の関係者に周知した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n特定された脆弱性の根本原因が、今後の開発・運用プロセスにおいて再発することを防ぐために、見直しと改善を実施したプロセス自体を、開発者や運用者等の関係者に展開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■再発防止策の実装と展開の状況に関する記録\n・関係者への周知記録（通知メール、回覧記録等）\n・教育・研修の実施記録（例：研修資料、受講者リスト、理解度テスト結果）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"プロセス改善"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：再発防止策の実装に関する記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.3.4"}]

{"sheet":"S(3)-3.2.1.2.2","index":180,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(3)-3.2.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定した脆弱性の根本原因が再発していないかを継続的に監視している記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n特定した脆弱性の根本原因が、開発・運用プロセスにおいて再発していないか監視していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■再発防止策の実装と展開の状況に関する記録\n・リリース後に、特定した既知脆弱性の根本原因が再発していないことの監視記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"プロセス改善"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの更新又は作成された新しいソフトウェアにより、根本原因の再発を防止又はその可能性を低減するために、ソフトウェアライフサイクル全体の開発と運用のプロセスをレビューし、必要に応じて見直す。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"今後のソフトウェアの更新又は新しいソフトウェアにおいて、根本原因の再発を防止もしくは低減するために、根本原因の分析を通じて得られた知見に基づき、適切なプロセスや慣行の変更を計画し、実装していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(3)-3.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：再発防止策の実装に関する記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：RV.3.4"}]

{"sheet":"S(4)-1.1.1.1.1","index":181,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・供給・運用関連の全ての役割と責務を定義した資料がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア開発ライフサイクル関連の役割と責務を網羅的に定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の定義前と考えられる）、当該段階において割り当てられているべき役割と責務に関する策定済の定義など、現状あるべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェア開発・供給・運用関連の全ての役割と責務を定義したドキュメント\n・ソフトウェア開発・供給・運用に関わる人員の全ての役割と責務の一覧（例：セキュリティ管理、リスク管理、サプライチェーン管理に係るすべての役割と責任）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割と責務の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発ライフサイクルを網羅する役割と責務を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・供給・運用関連の全ての役割と責務を定義し、ソフトウェア開発・供給・運用の全要員に対して割り当てていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア開発ライフサイクルの全ての役割と責務が定義されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.1"}]

{"sheet":"S(4)-1.1.1.2.1","index":182,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていることを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア開発ライフサイクル関連の役割と責務をソフトウェア開発・供給・運用の全要員に対して割り当てていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の全要員への割り当ての実施前と考えられる）、当該段階において割り当てられているべき役割と責務に関する策定済の定義など、現状あるべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務の割り当てを示すドキュメント\n・全要員への役割と責務の割り当ての一覧"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割と責務の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発ライフサイクルを網羅する役割と責務を定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・供給・運用関連の全ての役割と責務を定義し、ソフトウェア開発・供給・運用の全要員に対して割り当てていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ソフトウェア開発・供給・運用に関わる全要員に対して役割と責務を割り当てていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.1"}]

{"sheet":"S(4)-1.2.1.1.1","index":183,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用について、経営層に報告、あるいは理解を促進するための活動を実施した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nインタビュー評価： \nSDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減を経営層が、理解していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメント及び、経営層へのインタビュー等をエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアな開発・運用に対する経営層の関与を示すドキュメント\n・経営層（例：経営トップ、上級マネジメント、承認権限者）へのリスク及び、リスク軽減に関する報告（リスク分析結果やセキュア開発の取組方針の説明）\n・経営層での報告や議論、説明会の記録（例：会議録）\n■経営層へのインタビュー\n・SDLCにセキュリティを組み込まないことによるリスク（例：脆弱性の残存などによるビジネス損失）とセキュア開発によるリスク軽減（例：脆弱性の早期発見などによるビジネス損失の防止）に関する経営層の認識"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層のコミットメント"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減への認識が高めていること。その上で、セキュア開発に対する経営層のコミットメントを得ていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュア開発によるリスク軽減への認識を高める活動を実施した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.3"}]

{"sheet":"S(4)-1.2.1.2.1","index":184,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用の必要性を可視化しその推進方針等を、経営層が承認した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n組織としてセキュアな開発・運用に取り組むことを経営層が推進方針としていることを、責務として認識し実施していることについて「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアな開発・運用に対する経営層のコミットメントに関するドキュメント\n・セキュアな開発・運用に対する組織としての推進方針（例：社内通達での経営メッセージ、組織としてのセキュリティポリシー）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層のコミットメント"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層に対して、SDLCにセキュリティを組み込まないことによるリスクとセキュアな開発・運用によるリスク軽減への認識が高めていること。その上で、セキュア開発に対する経営層のコミットメントを得ていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュア開発に対して経営層がコミットしていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.3"}]

{"sheet":"S(4)-1.2.2.1.1","index":185,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュアな開発・運用の推進方針を周知した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nセキュアな開発・運用に対する経営層のコミットメントがソフトウェア開発・供給・運用の関連役割を持つ全担当者に届く仕組みを提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアな開発・運用に対する経営層のコミットメントの周知に関する記録\n・ソフトウェア開発・供給・運用の関連役割を持つ全担当者への、経営層（例：経営トップ、上級マネジメント、承認権限者）のセキュアな開発・運用への推進方針の周知記録（例：社内通達）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層のコミットメント"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュア開発・運用に関するコミットメントを周知し、組織にとってのセキュア開発・運用の重要性を教育していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュアな開発・運用へのコミットメントを周知していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.3"}]

{"sheet":"S(4)-1.2.2.2.1","index":186,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.2.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・供給・運用の関連役割を持つ全担当者に対する、組織にとってのセキュアな開発・運用の重要性に関する教育の資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア開発・供給・運用の関連役割を持つ全担当者に対して、セキュアな開発・運用の重要性を理解させるための仕組みを提供することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n推進方針の範囲は、対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの対象範囲（開発・運用））に応じて設定することになる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュアな開発・運用に関わる教育のドキュメント\n・ソフトウェア開発供給運用の関連役割を持つ全担当者向けのセキュア開発に関する教育（例：教育計画、教育プログラム）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層のコミットメント"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全要員に対してセキュア開発に対する経営層のコミットメントを周知し、組織にとってのセキュアな開発・運用の重要性を教育する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・供給・運用の関連役割を持つ全担当者に、経営層のセキュア開発・運用に関するコミットメントを周知し、組織にとってのセキュア開発・運用の重要性を教育していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.2.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：組織にとってのセキュア開発の重要性を教育していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.3"}]

{"sheet":"S(4)-1.3.1.1.1","index":187,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用の役割と責務について各要員が理解したことを示す資料や情報が存在すること。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュアな開発・運用の役割と責務を各要員が理解していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全ての役割と責務の定義の実施前と考えられる）、役割と責務の理解促進の手続きなど、現状あるべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■役割と責務について各要員の理解を示すドキュメント\n・セキュアな開発・運用の役割と責務の理解を促進する手続きに関する記録（例：役割と責務の一覧とトレーニング計画とその記録）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割と責務の同意"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各要員が、役割と責務を認識・同意していることを確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用の役割と責務について各要員が理解し、同意しているか確認していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：役割と責務について各要員が理解していることを示す記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.1"}]

{"sheet":"S(4)-1.3.1.2.1","index":188,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用の役割と責務について各要員が同意することを確認した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nインタビュー評価：\nセキュアな開発・運用の役割と責務について各要員が従うことに同意しているか確認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントやインタビューをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、全要員への役割と責務の割り当ての実施前と考えられる）、役割と責務の同意の手続きなど、現状あるべきドキュメントを評価し、現要員の認識についてインタビューや関連するドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■役割と責務についての同意取得に関するドキュメント\n・役割と責務について同意していることを示す記録（例：全要員の誓約書）\n\n■役割と責務についての同意取得に関するインタビュー\n・役割と責務について同意していることの認識（例：主要な役割の担当をサンプリング）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割と責務の同意"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各要員が、役割と責務を認識・同意していることを確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用の役割と責務について各要員が理解し、同意しているか確認していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：各要員が役割と責務について同意していることを確認した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.1"}]

{"sheet":"S(4)-1.4.1.1.1","index":189,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.4.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用に関する習熟度に応じたトレーニングの目標が定義され、その測定方法、トレーニングカリキュラムに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュアな開発・運用に関する各役割の習熟度に応じたトレーニングの目標に基づき、トレーニングを設計し、その効果を測定する仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■トレーニング計画のドキュメント\n・トレーニングの成果測定のプロセス（測定方法（例：理解度テスト、受講後アンケート等）、判断方法、基準等）\n・各役割のトレーニング目標とその達成に必要なトレーニングカリキュラム"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各役割のトレーニング"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用のトレーニング計画に、習熟度と役割に応じた目標と成果の測定プロセス、各役割の望ましい結果達成に必要なトレーニングの種類やカリキュラムを含めていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：トレーニング計画が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.2"}]

{"sheet":"S(4)-1.4.2.1.1","index":190,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.4.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用に関するトレーニング計画を実現するためのトレーニングを受講できるように提供している資料や情報があること。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n全要員に習熟度と役割に応じたセキュアな開発・運用に関するトレーニング環境を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■トレーニングのコンテンツに関するドキュメント\n・教育コンテンツ（例：セキュアなソフトウェア開発手法、セキュアコーディング標準、役割固有のベストプラクティス、AI サポートによる自動化支援（品質向上）の手法）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各役割のトレーニング"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.4.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全要員に習熟度と役割に応じてトレーニングを提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.4.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：トレーニングコンテンツが存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.2"}]

{"sheet":"S(4)-1.4.2.2.1","index":191,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.4.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用に関するトレーニング計画に基づき、全要員が習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを受講したことに関する記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n全要員に対して習熟度と役割に応じたセキュアな開発・運用に関するトレーニングを実際に運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n全要員へのトレーニングが完了していない段階では、トレーニングの実施計画や未受講者への督促記録など、現状あるべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■トレーニングを実施した記録\n・習熟度と役割に応じた全要員のトレーニング記録（例：受講履歴）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各役割のトレーニング"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"各役割のトレーニング計画を作成し、全要員が習熟度と役割に応じてトレーニングを実施できるように提供する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.4.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全要員に習熟度と役割に応じてトレーニングを提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.4.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：トレーニングを提供した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.2"}]

{"sheet":"S(4)-1.5.1.1.1","index":192,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.5.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発運用に関わる定期的又は継続的な役割の見直し手続きが定義された資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nセキュアな開発・運用の全ての役割を、定期的又は継続的に見直す仕組みを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■役割に関するレビュー計画のドキュメント\n・役割の見直しに関するレビュー計画\n・役割の見直し（例：新しい役割の設定、既存の役割の変更）に関する手続き"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.5"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割とトレーニングの見直し"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割やトレーニングは定期的に見直す。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.5.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての役割について環境変化のタイミング、及び定期的にレビューを実施し、新しい役割作成、既存の役割の変更・維持を行っていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.5.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：新しい役割作成、既存役割の見直しに関する手続きが存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.1"}]

{"sheet":"S(4)-1.5.1.2.1","index":193,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.5.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"レビューに基づく、セキュアな開発・運用に関わる新しい役割の設定や既存の役割の変更に関する記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nセキュアな開発・運用の全ての役割を、定期的又は継続的に見直す仕組みが機能することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版のプロジェクトの初期段階である場合（この場合は、全ての役割の見直し前と考えられる）、記録の確認は省略することができる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■役割に関するレビューの結果のドキュメント\n・セキュアな開発・運用に関する全ての役割の更新記録\n・セキュアな開発・運用の全ての役割に関するレビュー結果（例：定期的なレビュー会議の記録、開発体制の見直しや新たな技術の導入、重大インシデントの発生などに伴うレビュー記録）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.5"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割とトレーニングの見直し"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割やトレーニングは定期的に見直す。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.5.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"全ての役割について環境変化のタイミング、及び定期的にレビューを実施し、新しい役割作成、既存の役割の変更・維持を行っていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.5.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：新しい役割作成、既存役割の見直した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.1"}]

{"sheet":"S(4)-1.5.2.1.1","index":194,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-1.5.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"トレーニング効果の測定結果の分析に基づき、セキュアな開発・運用に関わるトレーニングプログラムを更新した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n要員の習熟度と役割ベースのトレーニングの効果測定に基づき、セキュアな開発・運用に関わるトレーニングを改善することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■トレーニングプログラムに関する更新の記録\n・トレーニングプログラムの更新プロセス（例：トレーニングの更新タイミング、更新計画の策定手順）\n・トレーニングパフォーマンスの測定結果の分析に基づくトレーニングカリキュラムの変更内容"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.5"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割とトレーニングの見直し"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"役割やトレーニングは定期的に見直す。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.5.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"トレーニング効果を測定し、トレーニングの変更が有益となる可能性のある領域を特定した上で、要員の習熟度と役割ベースのトレーニングを、必要に応じて更新していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-1.5.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：トレーニングプログラムを更新した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.2、PO.3"}]

{"sheet":"S(4)-2.1.1.1.1","index":195,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュア開発の土台となるソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる基本的なセキュリティ要件を特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関する基本的なセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発ポリシーの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わるセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.1、PO.3.2"}]

{"sheet":"S(4)-2.1.1.1.2","index":196,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nSDLC全体を通じたセキュア開発の土台となるソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わる全てのセキュリティ要件をリスクベースで特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関する全てのセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発ポリシーの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SDLC全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア開発インフラとそのコンポーネント、及びソフトウェア開発プロセスに関わるセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.1、PO.3.2"}]

{"sheet":"S(4)-2.1.2.1.1","index":197,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の観点から、事業に関連する主要な法規制をリストした資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる社内ポリシーが満たすべき、主要な法的要件からの要求事項を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外部要件の整理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発ポリシーの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：遵守すべき外部要件を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"}]

{"sheet":"S(4)-2.1.2.1.2","index":198,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、全体を通じたソフトウェア開発インフラとそのコンポーネント、及び開発プロセスに関わる社内ポリシーが満たすべき、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準といった外部からの要求事項を整理・追跡していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外部要件の管理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）・業界標準（例：Shifting the Balance of Cybersecurity Risk, FISC安全対策基準）・業界のベストプラクティスに関するリスト\n・外部要件の改訂等を監視・収集する手順"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発ポリシーの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発のインフラ及びプロセスの全てのセキュリティ要件（EOL に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：遵守すべき外部要件を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"}]

{"sheet":"S(4)-2.2.1.1.1","index":199,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェアに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、基本的なソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■開発ソフトウェアに適用するセキュリティ要件を定めたドキュメント\n・開発ソフトウェアに関する基本的なセキュリティ要件\n例：セキュアバイデザインの考慮、ソフトウェアの寿命（EOL/EOS）に関する基本的な考え方、基本的なアーキテクチャ、設計レベルのセキュリティ要件"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア・セキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：開発ソフトウェアに関わる組織共通のセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.1、PO.1.2"}]

{"sheet":"S(4)-2.2.1.1.2","index":200,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェアに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、SDLC全体にわたるセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n一律のセキュリティ要件を定義する代わりに、リスクベースでの分析を行い、具体的なアーキテクチャや設計、ライフサイクル管理の要件を規定してもよい。\nなお、本評価では、組織共通のセキュリティ要件定義を特定しており、(1)-1では、個別プロジェクトのセキュリティ要件を定義する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■開発ソフトウェアに適用するセキュリティ要件を定めたドキュメント\n・開発ソフトウェアに関するSDLC全体にわたるセキュリティ要件\n例：扱うデータの機微度、公開範囲等に応じたアーキテクチャ、設計、実装レベルの要件、、ライフサイクルのチェックポイントにおける検証フロー要件"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア・セキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：開発ソフトウェアに関わる組織共通のセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.1、PO.1.2"}]

{"sheet":"S(4)-2.2.1.2.1","index":201,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェアに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、ソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を規定したポリシーを見直ししていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■レビューの記録\n・ソフトウェアに適用するセキュリティ要件を規定したポリシーの見直し履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア・セキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.1、PO.1.2"}]

{"sheet":"S(4)-2.2.1.2.2","index":202,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.2.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェアに適用するセキュリティ要件を規定したポリシーについて定期的又は継続的にレビューを実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発するソフトウェアのセキュリティを確保するため、ソフトウェアアーキテクチャ・設計要件等のセキュリティ要件を維持するために、外部環境等の変化に対応して定期的又は継続的に規定したポリシーを更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nSDLC全体にわたってセキュリティ要件をレビューすることに注意する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■レビューの記録\n・ソフトウェアに適用するセキュリティ要件を規定したポリシーの定期的又は継続的な見直し履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア・セキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC 全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発するソフトウェアに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.1、PO.1.2"}]

{"sheet":"S(4)-2.3.1.1.1","index":203,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発に関わるセキュリティ活動のための予算が承認されていることを示す記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュア開発を支えるため、経営層が、セキュリティ対策の必要性、コスト、影響を理解した上で、適切な予算を確保することを責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■予算の実行状況に関する記録\n・セキュア開発活動に関する、もしくはセキュア開発活動を含む予算の承認記録（例：計画書、稟議書、予算執行実績）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"費用認識の共有と予算化"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層が、セキュア開発によるリスク軽減とコスト、影響を理解し、適切な予算を確保していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]

{"sheet":"S(4)-2.3.1.1.2","index":204,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.3.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ対策の必要性、コスト、影響を踏まえたセキュア開発方針に関する予算が承認されていることを示す記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュア開発を支えるため、経営層が、セキュリティ対策の必要性、コスト、影響を理解した上で、セキュア開発方針に関する予算を確保することを責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。なお、計画・見込み等により考慮されていることを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■予算の実行状況に関する記録\n・セキュア開発活動に関する、もしくはセキュア開発活動を含む予算の承認記録（例：計画書、稟議書、予算執行実績）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"費用認識の共有と予算化"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層が、セキュア開発によるリスク軽減とコスト、影響を理解し、適切な予算を確保していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]

{"sheet":"S(4)-2.3.2.1.1","index":205,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.3.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層やプロジェクト責任者が、脆弱性の放置が将来のコスト増に繋がることをリスクとして認識していることを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"インタビュー評価：\nドキュメント評価：\n経営者やプロジェクト責任者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債（サイバー攻撃による損害など）につながることを共通の経営リスクとして認識することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n特に経営層の認識については、関係者へのインタビューの他、要員の認識向上の取組を示す教育記録等の評価方法を採用することも考えられる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■経営層等へのインタビュー\n・経営層、プロジェクト責任者の脆弱性放置に関するリスク認識（インタビュー、もしくはその記録等）\n\n■経営層のリスク認識を反映したドキュメント\n・経営層での報告や議論の記録（例：会議録）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"費用認識の共有と予算化"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層を含む関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債につながることを共通の経営リスクとして認識していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性の放置リスクの概念が組織内で理解・共有されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.3、NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"}]

{"sheet":"S(4)-2.3.2.1.2","index":206,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-2.3.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性放置のリスクに関する、全社的なセキュリティ教育や開発者向けトレーニング等の啓発活動の資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n経営者を含む全ての関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債（サイバー攻撃による損害など）につながることを共通の経営リスクとして認識することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■全社員の認識に関するドキュメント\n・脆弱性放置がもたらすリスクに関する教育記録、教育プログラム"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"費用認識の共有と予算化"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ポリシーに基づいてセキュリティを確保するために必要な予算を確保する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"経営層を含む関係者間で費用認識の共有を促進する前提として、脆弱性の放置が将来的な負債につながることを共通の経営リスクとして認識していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-2.3.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：脆弱性の放置リスクの概念が組織内で理解・共有されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.2.3、NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1"}]

{"sheet":"S(4)-3.1.1.1.1","index":207,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持するための方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュアなソフトウェアサービス運用の土台となるサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる基本的なセキュリティ要件を特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nなお、S(4)-2が開発フェーズに焦点を当てており、S(4)-3は運用フェーズに焦点を当てる。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びソフトウェア運用プロセスに関する基本的なセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアサービス運用ポリシーの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者が、SDLC全体を通じたソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びプロセスに関わるセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.1、PO.3.2"}]

{"sheet":"S(4)-3.1.1.1.2","index":208,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わる全てのセキュリティ要件を特定し維持するための方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュアなソフトウェアサービス運用の土台となるサービス運用プロセスに関わる全てのセキュリティ要件をリスクベースで特定し維持する方針を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアを適用したサービス運用プロセスに関する全てのセキュリティ要件の特定、及び特定した要件を維持するための方針を定めたドキュメント"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアサービス運用ポリシーの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用者が、SDLC全体を通じたソフトウェアを適用したサービス運用インフラとそのコンポーネント、及び運用プロセスに関わるすべてのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアを適用したサービス運用インフラとそのコンポーネント、及びプロセスに関わるセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.1.1、PO.3.2"}]

{"sheet":"S(4)-3.1.2.1.1","index":209,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア運用の観点から、事業に関連する主要な法規制をリストした資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、ソフトウェアを適用したサービス運用インフラ・プロセスに関わる社内ポリシーが満たすべき、主要な法的要件からの要求事項を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外部要件の整理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアサービス運用ポリシーの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：遵守すべき外部要件を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1、ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"}]

{"sheet":"S(4)-3.1.2.1.2","index":210,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア運用の観点から、事業展開する全ての地域における法規制及び、関連する業界標準やベストプラクティスを網羅的に特定し、それらの最新情報を追跡するプロセスを定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n法令順守およびセキュリティ向上の参照情報として、ソフトウェアを適用したサービス運用インフラ・プロセスに関わる社内ポリシーが満たすべき、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準といった外部からの要求事項を整理・追跡していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外部要件の管理に関するドキュメント\n・遵守すべき法規制（例：個人情報保護法、サイバーセキュリティ基本法）・業界標準（例：ISMAP、ISO/IEC 27001, PCI DSS, FISC安全対策基準）・業界のペストプラクティスに関するリスト\n・外部要件の改訂等を監視・収集する手順"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアサービス運用ポリシーの定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービス運用インフラ及びプロセスの全てのセキュリティ要件（EOS 及び廃棄に係る要件を含む）を特定し、法令遵守の下SDLC 全体を通じて維持するためのセキュリティポリシーを定義する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準に対する社内ポリシーの適合性をチェックしていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：遵守すべき外部要件を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"NIST CSF：GV.OC、サイバーセキュリティ経営ガイドライン：指示1、ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"}]

{"sheet":"S(4)-3.2.1.1.1","index":211,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスに組織として共通的に適用する、基本的なセキュリティ要件の方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、基本的なセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関する基本的なセキュリティ要件\n例：責任共有モデル等のソフトウェアを適用したサービスに関する基本的な考え方、ソフトウェアの寿命（EOS、廃棄）に関する基本的な考え方、基本的な運用要件（顧客データのバックアップ、ログの取得・保管、インシデント発生時の連絡体制、データの完全性確保対応、環境の分離等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービスのセキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"}]

{"sheet":"S(4)-3.2.1.1.2","index":212,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービス運用者としてのセキュリティ責任範囲を定義した資料がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ責任範囲を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティの責任範囲"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービスのセキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"}]

{"sheet":"S(4)-3.2.1.1.3","index":213,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.2.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びこれを適用したサービスに組織として共通的に適用する、SDLC全体にわたるセキュリティ要件の方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、SDLC全体にわたるセキュリティ要件を特定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアを適用したサービスに適用するセキュリティ要件を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティ要件\n例：ライフサイクル全体にわたる扱うデータの機微度、公開範囲等に応じた、提供するサービスの可用性・完全性・機密性に関する目標レベルからの要件、顧客へのインシデント通知や顧客データのライフサイクル管理（隔離、暗号化、削除等）、サービスに対する脅威監視からの要件、ライフサイクルのチェックポイントにおける検証フロー要件"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービスのセキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"}]

{"sheet":"S(4)-3.2.1.1.4","index":214,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.2.1.1.4"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"責任共有モデルに基づき、自社及び関連事業者側の責任範囲と顧客側の責任範囲を定義し、ポリシーに反映するとともに、顧客に開示した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、リスクベースの運用、保守等に関わるセキュリティ責任範囲を特定した上で、顧客に説明していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアを適用したサービスの責任範囲を定めたドキュメント\n・ソフトウェアを適用したサービスに関するセキュリティ責任範囲（自社、関連事業者、顧客間の関係を含む）\n・顧客への責任範囲に関する説明記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービスのセキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアを適用したサービスに関わる組織共通のセキュリティ要件を特定した方針が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"}]

{"sheet":"S(4)-3.2.1.2.1","index":215,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関するレビュー記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ要件を規定したポリシーを見直していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■レビューの記録\n・ソフトウェアを適用したサービスに関して適用するセキュリティ要件を規定したポリシーの見直し履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービスのセキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"}]

{"sheet":"S(4)-3.2.1.2.2","index":216,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.2.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスに適用するセキュリティ要件を規定したポリシーに関して定期的又は継続的にレビューを実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアを適用したサービスのセキュリティを確保するため、運用、保守等に関わるセキュリティ要件を維持するために、外部環境等の変化に対応して定期的又は継続的に規定したポリシーを改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nここで、対象とするサービスは、運用業務を支援することを含むサービス、ソフトウェアサービスが該当する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■レビューの記録\n・ソフトウェアを適用したサービスに関して適用するセキュリティ要件を規定したポリシーの定期的又は継続的な見直し履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービスのセキュリティポリシーの定義と維持"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスが満たすべき全てのセキュリティ要件を規定したポリシーを定義し、これらの要件をSDLC全体にわたって維持する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを適用したサービスに関して、全てのセキュリティ要件を特定し、ポリシーとして維持していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティポリシーをレビューし、更新している記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards"}]

{"sheet":"S(4)-3.3.1.1.1","index":217,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"品質保証部門やセキュリティ部門など、担当部門から独立した組織がサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることについて監査を実施することを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査について、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするサービス運用インフラが運用開始前の段階である場合（この場合は、監査体制の整備途上と考えられる）、整備に向けた計画書や規定など、現状あるべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■監査実施に関するドキュメント\n・監査を担当する部門の役割（例：担当部門から独立したことを示す組織図、分掌規程）\n・監査体制表\n・監査の手順（例：監査の基準、範囲などの監査計画、情報収集方法、監査で用いるツール類等の実施手順、報告先や報告書等の監査報告手順、監査人の技能及び能力の検証のためのメカニズム）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用ポリシーに基づく監査"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを監査していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA"}]

{"sheet":"S(4)-3.3.2.1.1","index":218,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.3.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査報告書にて指摘事項を記録し、指摘事項に対して根本原因分析を行い、担当部門が是正対応を行っている記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認する監査を通じて検出された指摘に対して、根本原因の分析を踏まえた是正対応を行っていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n運用前の段階である場合（この場合は、監査の実施前と考えられる）、当該段階において策定すべき計画や方針など、現状あるべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■監査と是正処置の記録\n・監査の指摘事項（例：監査報告書）\n・是正処置が完了したことを示す記録（例：是正処置計画書、完了報告書）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用ポリシーに基づく監査"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を通じて検出された指摘に対応することで、ガバナンスの確立を図っていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.3.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA"}]

{"sheet":"S(4)-3.3.2.2.1","index":219,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-3.3.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることに関する監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nサービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認する監査を通じて検出された指摘に対して、組織のプロセス改善やポリシー見直しがなされ、ガバナンスの確立に寄与していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n運用前の段階である場合（この場合は、監査の実施前と考えられる）、当該段階において策定すべき計画や方針など、現状あるべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■プロセス改善とガバナンスへの反映の記録\n・監査結果を受けて改定された方針文書や手順書等の改訂履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"運用ポリシーに基づく監査"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ポリシーに基づくガバナンスにより、サービス運用インフラ及びプロセスの保護、及びサービスのセキュリティ要件がSDLC全体にわたって維持されていることを監査により確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サービス運用インフラ及びサービス運用のプロセスが保護されていること、及びサービスのセキュリティ要件が維持されていることを確認するための監査を通じて検出された指摘に対応することで、ガバナンスの確立を図っていること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-3.3.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Information Security Audit Lifecycle for NCA"}]

{"sheet":"S(4)-4.1.1.1.1","index":220,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのリリースと運用継続の可否を判断するための最低限のソフトウェアのセキュリティ確認基準を定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nリリースと運用継続の可否を判断するための基準を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ確認\n基準に関するドキュメント\n・リリースと運用継続の判断基準（例：リリース時の致命的な脆弱性の検出状況）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準の定義と追跡"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ確認基準を定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアのセキュリティ確認基準を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.1"}]

{"sheet":"S(4)-4.1.1.1.2","index":221,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のセキュリティ目標に基づき、SDLCの各フェーズのセキュリティチェック基準として、複数の定量的・定性的な指標を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n過去のプロジェクトの脅威、脆弱性情報、及び教訓を参考に、KPI、KRI、開発・運用フェーズの完了等のソフトウェアのセキュリティを確認するための基準を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ確認基準に関するドキュメント\n・フェーズ毎（要件定義、設計、実装、テスト、リリース、運用等）のセキュリティチェック基準（以下に例を示す）\n　　・設計・実装工程におけるセキュリティ観点レビュー完了率\n　　・テスト時のカバレジ、静的解析の指摘件数\n　　・リリース時の脆弱性の検出状況"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準の定義と追跡"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ確認基準を定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアのセキュリティ確認基準を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.1"}]

{"sheet":"S(4)-4.1.2.1.1","index":222,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限のセキュリティ確認基準（S(4)-4.1.1）のリスク管理効果に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェアのリリースと運用継続の可否を判断するためのセキュリティ確認基準がセキュリティリスク管理活動の効果を示すことができるように設計することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ確認基準とリスク管理効果を示すドキュメント\n・リリースと運用継続の可否を判断するためのセキュリティ確認基準とリスク管理の期待効果の対応（どのセキュリティリスクを低減させることを意図しているか）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準の定義と追跡"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ確認基準と、そのリスク管理効果との関連性を特定している資料や情報がある。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.1"}]

{"sheet":"S(4)-4.1.2.1.2","index":223,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準とセキュリティリスクの管理効果に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nSDLC全体にわたってソフトウェアのセキュリティ確認基準がセキュリティリスク管理活動の効果を示すことができるように設計されていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ確認基準とリスク管理効果とのトレーサビリティを示すドキュメント\n・SDLC全体にわたるセキュリティ確認基準とリスク管理の期待効果の対応（どのセキュリティリスク低減させることを意図しているか、そのトレーサビリティ）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準の定義と追跡"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ確認基準と、そのリスク管理効果との関連性を特定している資料や情報がある。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.1"}]

{"sheet":"S(4)-4.1.2.2.1","index":224,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.1.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発・運用のライフサイクルプロセスにおいて、最低限のセキュリティ確認基準（S(4)-4.1.1）の測定結果がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nリリースと運用継続の可否を判断するためのソフトウェアのセキュリティ確認基準を測定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■確認基準の記録\n・リリースと運用継続の可否を判断するためのセキュリティ確認基準の測定結果（例：リリース時の致命的な脆弱性の検出状況）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準の定義と追跡"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：SDLC全体にわたって、セキュリティ確認基準を活用していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.1"}]

{"sheet":"S(4)-4.1.2.2.2","index":225,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.1.2.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SDLCの各フェーズにおいて、測定したセキュリティ確認基準を判断材料として活用している記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nSDLC全体にわたって測定したソフトウェアのセキュリティ確認基準の結果に基づきSDLCを運用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nプロジェクトの初期段階である場合（この場合は、セキュリティ確認基準の測定前と考えられる）、トレーサビリティなど当該段階において整備済のドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■確認基準に基づくプロセス運用の記録\n・測定結果に基づくSDLCのセキュリティチェック実施ポイント（計画）とその運用記録（例：設計・実装工程におけるセキュリティ観点レビュー、リリース判断記録）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準の定義と追跡"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのセキュリティ確認基準を定義し、SDLC 全体を追跡する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ確認基準と測定値がセキュリティリスク管理の効果を適切に示すことができるように、SDLC全体にわたって追跡していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.1.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：SDLC全体にわたって、セキュリティ確認基準を活用していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.1"}]

{"sheet":"S(4)-4.2.1.1.1","index":226,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準（S(4)-4.1.1）を測定するためのデータの収集手順に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n定義されたセキュリティ確認基準を測定するためのデータを収集する手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ確認基準を測定するためのデータ収集の手順に関するドキュメント\n・データ収集手順（例：ビルドツールログ（エラーログなどのチェック）やコード解析ツール等の解析結果等の収集ためのツールから出力されるログ等のデータ及び、その収集方法）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定のサポート"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集するプロセス、メカニズム、ツール等を実装していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：確認基準を測定するためのデータを収集するプロセス、メカニズムやツールを実装していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.2"}]

{"sheet":"S(4)-4.2.1.1.2","index":227,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアな開発・運用のプロセスに各種セキュリティツールを統合し、開発・運用アクションに関する測定データを収集する仕組みに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n定義されたセキュリティ確認基準を測定するためのデータを、効率的かつ継続的に収集する仕組みを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■データ収集の仕組みに関するドキュメント\n・データ収集プロセスを定めた仕組み（例：ビルドツールログ（エラーログなどのチェック）やコード解析ツール等の解析結果等の収集ためのツールから出力されるログ等の情報及び、その収集方法、セキュリティダッシュボード等を活用した自動化システム）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定のサポート"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集するプロセス、メカニズム、ツール等を実装していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：確認基準を測定するためのデータを収集するプロセス、メカニズムやツールを実装していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.2"}]

{"sheet":"S(4)-4.2.2.1.1","index":228,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準への準拠チェック用に収集されるデータを保管するリポジトリやツールへのアクセス制限を適用している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n意思決定の根拠となるセキュリティ確認基準に関わるデータの信頼性を確保するため、収集データへのアクセスを限定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ確認基準を測定するための収集データの保護に関するドキュメント\n・データリポジトリやツールのアクセス制御（例：権限設定の一覧、アクセス制御に関する運用手続き）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定のサポート"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"収集情報へのアクセスを承認された担当者に限定し、意図しない情報変更や削除を防止していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：収集された測定データに対するアクセス制御を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.2"}]

{"sheet":"S(4)-4.2.2.1.2","index":229,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.2.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準への準拠チェック用に収集されるデータの変更・削除に関する監査ログを取得し、意図しない変更を検知・追跡している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュリティ確認基準への準拠チェック用に収集されるデータの信頼性を確保するため、収集データへの意図しない変更や削除を検知していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■収集データの保護に関するドキュメント\n・収集データの完全性確保の手続（例：監査ログの取得設定）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定のサポート"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく意思決定をサポートするために必要な情報を収集し保護するためのプロセスや仕組みなどを実装する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"収集情報へのアクセスを承認された担当者に限定し、意図しない情報変更や削除を防止していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：収集された測定データに対するアクセス制御を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.2"}]

{"sheet":"S(4)-4.3.1.1.1","index":230,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"担当部門から独立した組織がセキュリティ確認基準への適合に関わる監査を実施することを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nセキュリティ確認基準の遵守を通じたガバナンスの確立の寄与のため、セキュリティ確認基準への適合に関わる監査体制を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ確認基準への適合に関わる監査実施に関するドキュメント\n・監査を担当する部門の役割（例：組織図、分掌規程）\n・監査体制\n・監査の手順（例：監査の基準、範囲などの監査計画、監査で用いられるチェックリストやツール類等の実施手順、監査報告手順）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく監査"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準への適合に関わる監査体制とプロセスを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ確認基準の遵守状況を監査する体制を整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.1、Securing the Software Supply Chain for Developers：2.1"}]

{"sheet":"S(4)-4.3.2.1.1","index":231,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.3.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準への適合に関わる監査報告書にて指摘事項を記録し、指摘事項に対して、担当部門が是正対応を行っている記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアとその開発・運用に関するライフサイクル全体のセキュリティ水準を維持するため、セキュリティ確認基準への適合に関わる監査結果に基づいて、根本原因分析を踏まえた是正対応を行っていることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■監査と是正処置の記録\n・監査報告書\n・是正処置が完了していることを示す記録（例：是正処置計画書、完了報告書）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく監査"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ上の確認基準への適合に関する監査を通じて検出された指摘に対応することで、セキュアなソフトウェアとそのための開発・運用プロセスを定期的又は継続的に改善していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.3.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：監査で発見された不適合事項に対する是正処置に関する記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.2"}]

{"sheet":"S(4)-4.3.2.2.1","index":232,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-4.3.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準への適合に関わる監査結果が分析され、関連するポリシーや手順等の見直しに反映されている記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアとその開発・運用に関するライフサイクル全体のセキュリティ水準を維持するため、セキュリティ確認基準への適合に関わる監査結果に基づいて、開発・運用基準やプロセスを定期的又は継続的に改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。開発プロセスが不適切であるために、セキュリティ確認基準に基づく意思決定が適切に行えていない場合の改善等も想定する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■プロセス改善に関する記録\n・監査結果を受けて改訂された開発・運用に関わる方針文書や手順書等の更新履歴\n・セキュリティチェック基準の見直し実績・履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ確認基準に基づく監査"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ上の確認基準への適合を遵守するためのガバナンスにより、SDLC 全体を追跡し意図する効果を得ていることを監査により確認する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.3.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ上の確認基準への適合に関する監査を通じて検出された指摘に対応することで、セキュアなソフトウェアとそのための開発・運用プロセスを定期的又は継続的に改善していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-4.3.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：監査結果を組織的なプロセス改善に活用している記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.4.2"}]

{"sheet":"S(4)-5.1.1.1.1","index":233,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"高リスク要因に対処するため、開発・運用プロセスで使用するセキュリティツールのカテゴリを定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュアなツール活用を進めるため、高リスク要因の軽減を目的としたツールとツールチェーンのカテゴリ（IDE、コンパイラ等）を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールカテゴリの定義に関するドキュメント\n・ソフトウェア開発・運用における高リスク要因のリスト\n・ツールの情報（ツールのカテゴリ（例：IDE、コンパイラ）、基本機能、セキュリティ機能等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの指定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクを軽減するため、ツールチェーン内のカテゴリを定義し、各カテゴリで使用する必須ツールを指定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスク評価に基づき、導入すべきツールのカテゴリを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.1"}]

{"sheet":"S(4)-5.1.1.1.2","index":234,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・運用のリスク分析結果に基づき、プロジェクトのリスクレベルや特性に応じて導入すべきツールのカテゴリをライフサイクル全体にわたり定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュアなツール活用を進めるため、ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクの軽減を目的としたツールとツールチェーンのカテゴリ（IDE、コンパイラ等）をライフサイクル全体にわたり定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールカテゴリの定義に関するドキュメント\n・ソフトウェア開発・運用におけるリスク分析・評価の結果\n・ツールの比較検討結果\n・ライフサイクル全体にわたり採用するツールのリスト（ツールのカテゴリ（例：IDE、コンパイラ）、基本機能、セキュリティ機能等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの指定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発・運用に関わるリスクを評価し、特定されたリスクを軽減するため、ツールチェーン内のカテゴリを定義し、各カテゴリで使用する必須ツールを指定していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスク評価に基づき、導入すべきツールのカテゴリを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.1"}]

{"sheet":"S(4)-5.1.2.1.1","index":235,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"主要な開発・運用フェーズで連携させるツール群の構成を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nコード管理、ビルド、テスト、デプロイといった主要なソフトウェア開発・運用プロセス及びワークフローにおいて活用するツール群の連携構成を整理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールチェーンの構成と連携に関するドキュメント\n・主要な開発・運用プロセスにおけるツールの構成"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの指定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ツールチェーンの構成と連携方法を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.1"}]

{"sheet":"S(4)-5.1.2.1.2","index":236,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールチェーン全体のアーキテクチャと統合方法に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n特定したソフトウェア開発・運用に関わるリスクを軽減するため、ツール群が連携しワークフローに溶け込むよう、ツール間で受け渡される情報等のツールチェーン全体の構成を指定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールチェーンの構成と連携に関するドキュメント\n・ツールチェーンの全体構成\n・ツールチェーンのコンポーネントの統合方法（例： 連携データ、ツール統合時の連携ファイル）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの指定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ツールチェーンの構成と連携方法を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.1"}]

{"sheet":"S(4)-5.1.2.2.1","index":237,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.1.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールチェーンを開発・運用のプロセスとワークフローに統合していること。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n特定したソフトウェア開発・運用に関わるリスクを軽減するため、ツールチェーンのコンポーネントを既存のソフトウェア開発・運用プロセス及びワークフローと統合していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■開発・運用ワークフローへの統合に関するドキュメント\n・ツールチェーンを統合した開発・運用ワークフロー定義（例：ビルドの失敗、スキャン結果等を活用した統合の手続）\n・ツールチェーンから開発者・運用者へのフィードバックの定義（例：ビルドの失敗、スキャン結果等を活用したフィードバック情報）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの指定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定のリスクを軽減するために有効なツールを特定し、ツールチェーンのコンポーネントと相互に統合する方法を指定する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"特定されたリスク軽減のため、ツール間で受け渡される情報とデータ形式等のツールチェーンのコンポーネントの統合方法を指定し、既存のソフトウェア開発・運用のプロセス及びワークフローと統合していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.1.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ツールチェーンを、開発者・運用者のプロセス及びワークフローに統合していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.1"}]

{"sheet":"S(4)-5.2.1.1.1","index":238,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入するツールに既知の重大な脆弱性がないことを確認した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールがソフトウェアの脆弱性要因とならないよう、ツールの重大な脆弱性情報を確認していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールのセキュリティ評価に関するドキュメント\n・ツール選定時の脆弱性情報の確認結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：導入するツールのセキュリティを評価した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2"}]

{"sheet":"S(4)-5.2.1.1.2","index":239,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシーに従い、導入するツールについて、提供元の信頼性評価やツールのセキュリティ評価を実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールがソフトウェアの脆弱性要因とならないよう、組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールのセキュリティ評価に関するドキュメント\n・組織のポリシー及び、セキュリティ慣行に基づくツール選定時のセキュリティ評価（例：脆弱性診断、出所情報）の結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：導入するツールのセキュリティを評価した記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2"}]

{"sheet":"S(4)-5.2.1.2.1","index":240,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のセキュリティポリシーに基づく、ツールとツールチェーンのセキュリティ堅牢化及び、配備に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nツールがソフトウェアの脆弱性要因とならないよう、組織のポリシー及び、セキュリティ慣行に従って、セキュアにツールとツールチェーンを配備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールとツールチェーンのセキュアな配備に関するドキュメント\n・ツールとツールチェーンの環境構築手順（例：不要機能の無効化、セキュアな通信設定、アクセス制御の構成等のハーデニング）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシー及び、セキュリティ慣行に従って、ツールのセキュリティを評価した上で、ツールとツールチェーンを配備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ツールとツールチェーンのセキュアな構成とその配備の方法を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2"}]

{"sheet":"S(4)-5.2.2.1.1","index":241,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールチェーンの重要な設定項目について、定期的又は継続的なレビュー記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの重要な設定を定期的又は継続的に確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツール構成の確認に関する記録\n・ツールチェーンの重要な構成に関する定期的又は継続的な確認履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ツールチェーンの構成が、意図せず変更されていないことの監視記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"}]

{"sheet":"S(4)-5.2.2.1.2","index":242,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"構成管理ツール等を用いて、ツールの設定変更を管理し、特定したセキュアな構成からの逸脱を検知・通知している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの構成に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）を定期的又は継続的に監視することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツール構成の監視に関する記録\n・ツールチェーンの構成変更のレビュー記録\n・ツールチェーンの構成ファイルの変更履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ツールチェーンの構成が、意図せず変更されていないことの監視記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"}]

{"sheet":"S(4)-5.2.2.2.1","index":243,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールチェーンにおいて、本番環境への無許可アクセス等の重大なポリシー違反を検知するための記録が存在している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる重大なセキュリティ問題（本番環境への無許可アクセス等）について検知することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツール利用の検知に関するドキュメント\n・ツールやツールログのチェック履歴（実行時に発生した重大なセキュリティ関連のエラーログのチェックなど）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ツールチェーンの運用状況を、セキュリティの観点から監視していることを示す記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"}]

{"sheet":"S(4)-5.2.2.2.2","index":244,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.2.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールチェーンにおいて、収集したログを分析し、検知すべき異常な振る舞いやポリシー違反を検知するための監視ルールを実装している。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）について定期的又は継続的に監視することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nツール自体のセキュリティ問題だけではなく、セキュアなソフトウェア開発・運用に関わる、ポリシー違反や異常な動作を含むセキュリティ上の潜在的な問題を発見するために、ツール利用時の証跡を定期的又は継続的に監視する。問題の例としては、特権アカウントの不正利用、ビルドプロセスへの不審なコード挿入の試み、保護されたブランチへの強制プッシュ、セキュリティチェックの意図的なスキップ等である。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツール利用の監視に関するドキュメント\n\n・ツールとツールチェーンに関わるセキュリティ監視ルールの定義（例：ログ管理システム（SIEM等）の設定情報）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ツールチェーンの運用状況を、セキュリティの観点から監視していることを示す記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"}]

{"sheet":"S(4)-5.2.2.3.1","index":245,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.2.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールチェーンにおいて、重大なポリシー違反を検知した際に、担当者が対応する手順に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる重大なセキュリティ問題に対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■対応プロセスに関するドキュメント\n・検知された重大なポリシー違反への対応の手続（例：調査、是正措置、再発防止策の検討）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：検知された問題への対応を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"}]

{"sheet":"S(4)-5.2.2.3.2","index":246,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.2.3.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールチェーンにおいて、検知したイベントへの一連の対応プロセスと、過去の対応記録に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのセキュアな運用状態を維持するため、ツールとツールチェーンの運用に関わる潜在的なセキュリティ問題（ポリシー違反となる設定等）に対処することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nまた、ツール自体のセキュリティ問題だけではなく、セキュアなソフトウェア開発・運用に関わる、ポリシー違反や異常な動作を含むセキュリティ上の潜在的な問題にも対処していることを評価する。問題の例としては、特権アカウントの不正利用、ビルドプロセスへの不審なコード挿入の試み、保護されたブランチへの強制プッシュ、セキュリティチェックの意図的なスキップ等である。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■対応プロセスに関するドキュメント\n・検知された問題への対応の手続（例：イベントの深刻度評価、調査、是正措置、再発防止策の検討）\n・是正措置の記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの運用及び潜在的なセキュリティ問題について定期的又は継続的に監視すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.2.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：検知された問題への対応を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2、PO.3.3、Securing the Software Supply Chain for Developers：2.4"}]

{"sheet":"S(4)-5.2.3.1.1","index":247,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.3.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"利用しているツールに既知の重大な脆弱性がないことを定期的又は継続的に確認した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、ツールの脆弱性を定期的又は継続的に確認していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールの脆弱性管理に関するドキュメント\n\n・ツールの定期的又は継続的な確認記録（例：脆弱性情報）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.3.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ツールの脆弱性情報を定期的又は継続的に評価していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2"}]

{"sheet":"S(4)-5.2.3.1.2","index":248,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.3.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシーに従い、利用しているツールのセキュリティの評価を定期的又は継続的に実施する手順がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を定期的又は継続的にレビューする手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールの脆弱性管理に関するドキュメント\n・ツールのセキュリティ評価手順"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.3.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ツールの脆弱性情報を定期的又は継続的に評価していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2"}]

{"sheet":"S(4)-5.2.3.2.1","index":249,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.3.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールに重大な脆弱性が発見された場合、パッチ適用やバージョンアップを実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、ツールの重大な脆弱性に対応するため、ツールを更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、ツールに脆弱性が確認できない場合が考えられる）、重大な脆弱性に対するツールのバージョンアップの方針など、現状あるべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールのアップデートに関するドキュメント\n・重大な脆弱性に対処するためのツールの更新履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.3.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ツールを必要に応じてアップデートしていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2"}]

{"sheet":"S(4)-5.2.3.2.2","index":250,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.2.3.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"自組織の開発プロセスの見直し、もしくは新しいツール機能にあわせてツールを評価し、必要に応じてツールを更新、アップグレード、または交換する手順がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nツールのライフサイクルを通じてソフトウェアに脆弱性を組み込む要因とならないよう、組織のポリシーに従い、ツールの出所、や新機能等を定期的又は継続的にレビューし、ツールを維持・更新していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ツールのアップデートに関するドキュメント\n・ツールの更新に関する手続き（例：アップデート、変更管理、適用後のテスト）\n・ツールの評価記録\n・ツールの更新履歴"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツールとツールチェーンの配備・運用・保守"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行にしたがってツールとツールチェーンを配備、運用、及び保守する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.3"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシーに従い、ツールの出所、整合性、脆弱性や新機能を継続的にレビューし、ツールを維持・更新していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.2.3.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：ツールを必要に応じてアップデートしていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.2"}]

{"sheet":"S(4)-5.3.1.1.1","index":251,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソースコードリポジトリにおいて、誰が、いつ、どのコードを変更したかに関する記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、ソースコードに関する監査証跡を生成することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■監査証跡の生成に関するドキュメント\n\n・ツールの実行ログ（例：実行者、日時、結果等により追跡可能なログ）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツール構成と証跡生成"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.3"}]

{"sheet":"S(4)-5.3.1.1.2","index":252,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.3.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"一連の開発・運用アクションが追跡可能な形で記録されるようにツールチェーンを構成していることを示す記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、コード生成、レビュー、ビルド、テスト、デプロイといった一連の開発・運用アクションに関する監査証跡を生成するように、ツール（ワークフロー追跡等）を構成することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■監査証跡の生成に関するドキュメント\n・ツールの設定（例：設定内容、項目）\n・ツールのアウトプット情報（例：生成ファイルとその情報、監査ログ設定と内容）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツール構成と証跡生成"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.3"}]

{"sheet":"S(4)-5.3.1.1.3","index":253,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-5.3.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発・運用アクションに関する監査証跡のアクセス制御に関わる資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nインシデントの原因調査や内部不正の抑止といった、セキュアなソフトウェア開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発アクションに関する監査証跡を保護することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■監査証跡の生成に関するドキュメント\n・ツールのアウトプットのアクセス制御（例：アクセスリスト、監査証跡の保護設定）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ツール構成と証跡生成"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織によって定義されたセキュアなソフトウェア開発の慣行のサポートに関する証跡を生成するようにツールを構成する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアなソフトウェアの開発・運用に関わる組織のポリシー及びセキュリティ慣行の確立を支援するため、開発・運用アクションに関する監査証跡を生成及び保護するように、ツールを構成すること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-5.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア開発・運用における重要なアクションが記録及び保護されるようにツールを構成していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.3.3"}]

{"sheet":"S(4)-6.1.1.1.1","index":254,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各環境の基本的な構成や管理状況に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を管理していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアの環境の分離を定めたドキュメント\n・各環境の基本的な構成や管理状況（例：ネットワーク構成、ファイアウォール、アクセス制御方法、環境間の差分情報、ログ情報）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"環境の分離保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発に関係する各環境を分離して保護する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.1"}]

{"sheet":"S(4)-6.1.1.1.2","index":255,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"目的やリスクレベルに応じて各環境間の分離と保護の方式が定義され、分離と保護を実施していることを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を、目的やリスクレベルに応じた各環境間の分離と保護の方式を通じて、分離・保護していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアの環境の分離を定めたドキュメント\n・各環境間の分離と保護のコントロール（例：認証方式、アクセス管理表、監視ルール）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"環境の分離保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発に関係する各環境を分離して保護する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.1"}]

{"sheet":"S(4)-6.1.1.1.3","index":256,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.1.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境ごとのデータの保護方針を示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）上のデータを分離・保護していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアの環境の分離を定めたドキュメント\n・データの保護方針（例：本番データの開発環境での利用方針、マスキング方針）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"環境の分離保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発に関係する各環境を分離して保護する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア開発に関係する各環境を、目的やリスクレベルに応じて分離・保護していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.1"}]

{"sheet":"S(4)-6.1.1.2.1","index":257,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツールの脆弱性を監視し対処する手続きに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）を分離・保護するツールの脆弱性を監視し対処していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■分離された各開発環境の維持・管理に関するドキュメント\n・環境の保護に関連するツールの脆弱性の管理手続き\n・構成変更の手順"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"環境の分離保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発に関係する各環境を分離して保護する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：分離・保護された各環境が、維持・管理されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.1"}]

{"sheet":"S(4)-6.1.1.2.2","index":258,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.1.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境の分離と保護に関連するツール・対策の構成変更に関する記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）を分離・保護するツール・対策の構成を適切に見直していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■分離された各開発環境の維持・管理に関するドキュメント\n・環境の見直し履歴（例：環境のアクセス管理表の見直し履歴、構成見直し履歴）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"環境の分離保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発に関係する各環境を分離して保護する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：分離・保護された各環境が、維持・管理されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.1"}]

{"sheet":"S(4)-6.1.1.2.3","index":259,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.1.1.2.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境間の分離と保護状態のチェックに関する記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング、本番等）の分離・保護状態を確認することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■分離された各開発環境の維持・管理に関するドキュメント\n・分離と保護の監視記録（例：アラートログ、アクセス違反等のログ保存など）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"環境の分離保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発に関係する各環境を分離して保護する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：分離・保護された各環境が、維持・管理されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.1"}]

{"sheet":"S(4)-6.1.1.2.4","index":260,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.1.1.2.4"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境について、監視を通じてサイバーインシデントを検出し、インシデントから回復する手順に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア開発の各フェーズで使用される環境（ビルド、ステージング等）の分離・保護に関するインシデントを検出し復旧する手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■分離された各開発環境の維持・管理に関するドキュメント\n・監視を通じてサイバーインシデントを検出し、インシデントから回復する手順"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"環境の分離保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発に関係する各環境を分離して保護する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア開発の各フェーズで使用される環境を分離・保護していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：分離・保護された各環境が、維持・管理されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.1"}]

{"sheet":"S(4)-6.2.1.1.1","index":261,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの設計者、開発者、テスター、ビルダー向けなどの開発環境及び開発用エンドポイントにおける一般的な脅威を識別し、リスク評価を実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュアなソフトウェアの根幹をなす開発環境における開発用エンドポイント（ソフトウェアの設計者、開発者、テスター、ビルダー向けなど）の保護・強化方法を選定するために、一般的な脅威（例：マルウェア感染、物理的盗難）を対象としたリスク分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■開発環境及び開発用エンドポイントのリスク分析に関するドキュメント\n・リスク分析・評価を実施可能とするための手続き\n・開発用エンドポイント（パソコンやモバイル端末など）を対象とした一般的な脅威を想定したリスク判定結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発用エンドポイントの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発環境及び開発用エンドポイントの保護・強化方法を選定するために、リスク分析を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：開発環境及び開発用エンドポイントに対するリスク分析の結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2"}]

{"sheet":"S(4)-6.2.1.1.2","index":262,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発環境及び開発用エンドポイントにおける開発者の行動や利用シナリオを想定した具体的な脅威シナリオに基づき、詳細なリスク分析を実施した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュアなソフトウェアの根幹をなす開発環境における開発用エンドポイント（ソフトウェアの設計者、開発者、テスター、ビルダー向けなど）の保護・強化方法を選定するために、開発者の行動や利用シナリオを想定した詳細なリスク分析を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■開発環境及び開発用エンドポイントのリスク分析に関するドキュメント\n・リスク分析・評価を実施可能とするための手続き（例：規程、実施手順）\n・開発用エンドポイント（パソコンやモバイル端末など）を対象とした詳細なリスク判定結果（例：悪意のある開発拡張ツールによるバックドア設置）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発用エンドポイントの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発環境及び開発用エンドポイントの保護・強化方法を選定するために、リスク分析を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：開発環境及び開発用エンドポイントに対するリスク分析の結果が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2"}]

{"sheet":"S(4)-6.2.2.1.1","index":263,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発環境及び開発用エンドポイントに導入すべき基本的なセキュリティ対策の方針や基準を定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を実施できるよう、リスク分析に基づき、開発環境及び開発用エンドポイントの基本的なセキュリティ保護策（例：アンチウイルスソフト導入、OS・ソフトウェアの最新化、ファイアウォール有効化）を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■保護・強化方法に関するドキュメント\n・リスク分析結果に基づく基本的な対策の選定記録、リスク対応計画"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発用エンドポイントの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスク分析に基づき、保護・強化方法を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2"}]

{"sheet":"S(4)-6.2.2.1.2","index":264,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.2.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク評価の結果に基づき、開発環境及び開発用エンドポイントからアクセスするリソース、また開発環境及び開発用エンドポイントに導入すべきセキュリティ対策の方針や基準を定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を実施できるよう、リスク分析に基づき、開発環境及び開発用エンドポイントと開発環境及び開発用エンドポイントからアクセスするリソースのセキュリティ保護策を策定していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■保護・強化方法に関するドキュメント\n・リスク分析結果に基づく対策の選定記録、リスク対応計画\n・開発環境及び開発用エンドポイント向けの組織のセキュリティ管理基準（例：端末設定、ネットワーク参加権限、アプリケーションリスト、データの保護策、ウィルス対策、パーソナルファイアウォール、仮想環境、多要素認証、ディスク暗号化、機密データのDLP、サービス管理、アプリケーション実行制御）\n・開発用エンドポイントからアクセスするリソース向けの組織のセキュリティ管理基準（例：開発リソース（サーバなど）へのアクセスコントロール、システムログの監視）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発用エンドポイントの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスク分析に基づき、保護・強化方法を特定していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2"}]

{"sheet":"S(4)-6.2.2.2.1","index":265,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.2.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発環境及びエンドポイントの基本的なセキュリティ対策を実施していることを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発環境及び開発用エンドポイントの基本的なセキュリティ保護策を実施していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ監視に関するドキュメント\n・セキュリティアラートの検知記録（認証失敗、マルウェア検知等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発用エンドポイントの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：開発環境及び開発用エンドポイントに対するセキュリティ対策を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2"}]

{"sheet":"S(4)-6.2.2.2.2","index":266,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.2.2.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発環境およびエンドポイントの堅牢化と監視を定期的又は継続的に運用している記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発環境及び開発用エンドポイントの保護を確実に実施できるよう、セキュリティ対策の方針に基づき開発環境及び開発用エンドポイントを堅牢化すると共に、不審な挙動（例：不審なプロセス実行、外部への意図しない通信、特権アクセスやアクセス試行）の監視・分析を定期的又は継続的に実施していることについて、責務として認識し実施していることを、ドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ監視に関するドキュメント\n・EDR/SIEM等の監視システムの構成資料、監視ルール\n・セキュリティアラートの検知記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発用エンドポイントの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：開発環境及び開発用エンドポイントに対するセキュリティ対策を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2"}]

{"sheet":"S(4)-6.2.2.3.1","index":267,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.2.2.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発環境及び開発用エンドポイントでのインシデント発生時の報告・対応手順に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n開発環境及び開発用エンドポイントでのサイバーインシデント発生時の対応手順を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■インシデント対応に関するドキュメント\n・インシデント対応手順"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発用エンドポイントの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：開発環境及び開発用エンドポイントで発生したインシデントへの対応プロセスが整備・運用されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2"}]

{"sheet":"S(4)-6.2.2.3.2","index":268,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(4)-6.2.2.3.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"インシデント発生時に、手順に則って対応（封じ込め、調査、復旧）した記録がある、または対応訓練の実施に関する記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n手順に従い、開発環境及び開発用エンドポイントでのサイバーインシデントを検出、対応、回復していること、またはその訓練を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■インシデント対応に関するドキュメント\n・インシデントの対応履歴\n・開発環境及び開発用エンドポイントの見直し履歴\n・インシデント対応訓練の実施記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"開発用エンドポイントの保護"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスクベースのアプローチを使用して開発関連のタスクを実行するために、各開発者向けのエンドポイントを保護、強化する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク分析に基づき、開発環境及び開発用エンドポイントのセキュリティ保護を堅牢化、特権アクセスやアクセス試行などの監視を実施し、サイバーインシデントを検出、対応、回復していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(4)-6.2.2.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：開発環境及び開発用エンドポイントで発生したインシデントへの対応プロセスが整備・運用されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-218：PO.5.2"}]

{"sheet":"S(5)-1.1.1.1.1","index":269,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nセキュリティに関わる情報を取得・提供・共有するため、組織として外部との情報連携をどのように位置付け、実施するかを定めた基本方針を整備することについて責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■情報連携に関する基本方針のドキュメント\n・情報連携の基本方針（目的、責任者、基本的な連携ルール）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"情報連携のための組織体制の構築"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びサービスに関連する法的要件、業界標準及び、ベストプラクティスに適合した、情報連携を実施するためのポリシーを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ポリシー文書が存在していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーセキュリティ経営ガイドライン：指示7、指示10\nENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards\n情報セキュリティ早期警戒パートナーシップガイドライン"}]

{"sheet":"S(5)-1.1.1.2.1","index":270,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携に関する基本方針の内容が、関連する外部要件に準拠していることを確認した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nセキュリティ確保の参照情報として、組織として外部との情報連携の基本方針が、国内及び事業を行う地域の法的要件、業界のベストプラクティスや標準（例：情報セキュリティ早期警戒パートナーシップガイドラインの脆弱性発見時の届出）に遵守していることを確認することについて責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■外部要件への適合に関するドキュメント\n・遵守すべき法規制・業界標準等に関するリスト\n・外部要件と社内ポリシー間のギャップ分析結果"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"情報連携のための組織体制の構築"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及びサービスに関連する法的要件、業界標準及び、ベストプラクティスに適合した、情報連携を実施するためのポリシーを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：情報連携に関するポリシーと外部要件との適合性を確認していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーセキュリティ経営ガイドライン：指示7、指示10\nENISA Guidelines on assessing DSP and OES compliance to the NISD security requirements：Compliance with (Inter)national Standards\n情報セキュリティ早期警戒パートナーシップガイドライン"}]

{"sheet":"S(5)-1.1.2.1.1","index":271,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部からの脆弱性報告等の情報受付と外部への情報発信に関する役割を定めた資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n情報連携のための組織のポリシーが具体化され、情報連携のための役割を整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■体制に関するドキュメント\n・情報連携に関する役割定義（例：CSIRT と連絡責任者（POC））"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"情報連携のための組織体制の構築"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシーに基づき、役割・プロセスを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：情報連携を担う役割を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks"}]

{"sheet":"S(5)-1.1.2.2.1","index":272,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.1.2.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"外部から情報を受け取った際、または自社から情報を発信する際の基本的な対応手順に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n情報連携のための組織のポリシーが具体化され、情報共有の資格や情報共有フォーマット、マニュアル等を含む情報連携のための、プロセスを整備していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■プロセスに関するドキュメント\n・情報連携に関わる手順（例：連絡窓口、脆弱性/インシデント連絡フロー、情報共有の範囲（機密区分）、合意形成（例外受容の証跡）のフロー））\n・連携ツール（例：Webフォーム、専用メールアドレス）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"情報連携のための組織体制の構築"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの製品及びサービスのセキュリティを改善するために、民間企業同士、関係当局、専門組織との情報連携のための組織体制を構築する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"組織のポリシーに基づき、役割・プロセスを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.1.2.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：情報連携の具体的なプロセスを定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks"}]

{"sheet":"S(5)-1.2.1.1.1","index":273,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"関係ベンダーに提供しているセキュリティ情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n関係者がリスクに対処することで顧客のセキュリティを向上させるため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダーに提供していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■情報提供チャネルのドキュメント\n・過去に提供したセキュリティ情報"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"重要なセキュリティ関連情報の提供"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：関係ベンダーへの情報提供チャネルを実装していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-161：3.2"}]

{"sheet":"S(5)-1.2.1.1.2","index":274,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"情報連携を実施するためのポリシーに基づき、関係ベンダー毎に、適切な情報提供チャネルを用意し、情報提供チャネルごとの情報を入手する方法に関する資料や情報があること。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n関係者がリスクに対処することで顧客のセキュリティを向上させるため、業界固有の必須かつ重要なセキュリティ関連情報を適切なチャネルに基づき関係ベンダーに提供していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該情報提供の実施前の可能性も考えられる）、情報提供チャネルに関する準備すべきドキュメントを評価する。S(5)-1.1で定めたポリシーに準じた活動を推進していることを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■情報提供チャネルのドキュメント\n・情報提供チャネル（例：セキュリティアドバイザリのWebページ、通知メールの送信履歴やテンプレート、サポートポータルのコンテンツ）\n・情報提供チャネルごとの関係ベンダーが情報を入手する方法の案内（例：情報共有の資格、情報を有効活用するためのフォーマットやマニュアル）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"重要なセキュリティ関連情報の提供"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：関係ベンダーへの情報提供チャネルを実装していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-161：3.2"}]

{"sheet":"S(5)-1.2.1.2.1","index":275,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"自社が関連する緊急度の高い脆弱性情報に関して公開している資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n関係者がリスクに対処することで顧客のセキュリティを向上させるため、自社製品の脆弱性関連情報を公開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n対象とするソフトウェア、あるいはソフトウェアで構成されるシステム・サービスの初版の設計前の段階である場合（この場合は、当該情報提供の実施前の可能性も考えられる）、情報提供チャネルに関する準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■情報提供の実績のドキュメント\n・過去に公開されたセキュリティアドバイザリの一覧（例：自社製品の脆弱性）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"重要なセキュリティ関連情報の提供"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：必要なセキュリティ関連情報をサプライチェーンに提供していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-161：3.2"}]

{"sheet":"S(5)-1.2.1.2.2","index":276,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.2.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報に加え、製品のセキュアな利用方法や業界固有の脅威情報等に関して提供先の特性に応じて公開している資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n関係者がリスクに対処することで顧客のセキュリティを向上させるため、製品のセキュアな利用法や業界固有の脅威情報等のセキュリティ関連情報を公開していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。S(5)-1.1で定めたポリシーに準じた活動を推進していることを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■情報提供の実績のドキュメント\n・過去に公開されたセキュリティアドバイザリの一覧（例：脅威情報や製品のセキュアな利用方法）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"重要なセキュリティ関連情報の提供"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客のセキュリティ向上のため、業界固有の必須かつ重要なセキュリティ関連情報を関係ベンダー間に提供していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：必要なセキュリティ関連情報をサプライチェーンに提供していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-161：3.2"}]

{"sheet":"S(5)-1.2.2.1.1","index":277,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.2.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"自社が関連する緊急度の高い脆弱性情報を連携対象として定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nサプライチェーン先に一貫した情報提供が行えるよう、連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報として緊急度の高い脆弱性情報を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■情報定義に関するドキュメント\n・連携情報の定義（緊急度の高い脆弱性情報）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"重要なセキュリティ関連情報の提供"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報を明確に定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：連携するセキュリティ関連情報の種類を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks\nサイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン  "}]

{"sheet":"S(5)-1.2.2.1.2","index":278,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.2.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報に加え、脅威情報、インシデント情報、製品のセキュアな設定・運用に関するベストプラクティスなど提供対象とすべき重要情報を定義した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nサプライチェーン先に一貫した情報提供が行えるよう、連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報（脆弱性情報、脅威情報、インシデント情報、ベストプラクティス等）を定義していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■情報定義に関するドキュメント\n・連携情報の定義（例：脅威情報（攻撃の観測状況）、インシデント情報（影響範囲等）、製品のセキュアな設定・運用、被害事例）、公開基準"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"重要なセキュリティ関連情報の提供"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界固有の必須かつ重要なセキュリティ関連情報を選別・識別して、サプライチェーン先に提供する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"連携の対象となる業界固有の必須かつ重要なセキュリティ関連情報を明確に定義していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.2.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：連携するセキュリティ関連情報の種類を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"NIST SP 800-161: 3.2\nCISA Defending Against Software Supply Chain Attacks\nサイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン  "}]

{"sheet":"S(5)-1.3.1.1.1","index":279,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）に参加していること。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス）に参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■情報連携制度・仕組みへの参加に関するドキュメント\n・当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みに関する情報（活用を示す手順、届出者登録完了通知（例：JPCERT/CC、IPA（JVN）、NCO等から公開される脆弱性勧告やアラート）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報の通知サービスの利用"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"効率的に脆弱性情報の共有を図るため、脆弱性情報の通知サービスを利用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みを活用し、サプライチェーンでの脆弱性情報共有の仕組みを構築していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：外部の公式な情報連携制度・仕組みに参加していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン"}]

{"sheet":"S(5)-1.3.1.2.1","index":280,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-1.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス等）から取り込んだ脆弱性情報等をS(5)-1.2の活動に活用した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n当局、専門組織等が運営する脆弱性等の情報連携制度・仕組み（通知サービス）を活用し、脆弱性情報共有の仕組みを構築していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■プロセスに関するドキュメント\n・情報連携プロセス（例：JPCERT/CC、IPA（JVN）への届け出手続き、当該組織から公開される情報の受領とその活用手続き等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"脆弱性情報の通知サービスの利用"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"効率的に脆弱性情報の共有を図るため、脆弱性情報の通知サービスを利用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"当局、専門組織等が運営する脆弱性等の情報連携制度・仕組みを活用し、サプライチェーンでの脆弱性情報共有の仕組みを構築していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-1.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：外部の公式な情報連携制度・仕組みを活用した情報共有（受信・発信）のプロセスを整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバー攻撃被害に係る情報の共有・公表ガイダンス、攻撃技術情報の取扱い・活用手引き、秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案、情報セキュリティ早期警戒パートナーシップガイドライン"}]

{"sheet":"S(5)-2.1.1.1.1","index":281,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-2.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"少なくとも一つのセキュリティに関わる業界団体やコミュニティに参加した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析するISAC等の業界団体やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n会社、部門、もしくは関係者が参加していることを確認する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティコミュニティへの参加の記録\n・ISAC、業界団体、セキュリティコミュニティ等の参加の証跡（例：会員リストや会員証）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制の活用"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの製品及びサービスのセキュリティを改善するために、外部の事業者、顧客、及び専門機関が参加するソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析する業界団体やコミュニティへ参加していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：自社の事業に関連するセキュリティコミュニティに参加している記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーセキュリティ経営ガイドライン：指示10"}]

{"sheet":"S(5)-2.1.1.1.2","index":282,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-2.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"事業領域や技術領域に応じて、セキュリティに関わる複数の適切な業界団体やコミュニティに自組織として参加している記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n組織として外部の知見を取り入れる体制を持っているかを確認するため、事業領域や技術領域に応じたソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析するISAC等の業界団体やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティコミュニティへの参加の記録\n・ISAC、業界団体、セキュリティコミュニティ等の参加の証跡（例：会員リストや会員証）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制の活用"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの製品及びサービスのセキュリティを改善するために、外部の事業者、顧客、及び専門機関が参加するソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア製品及びサービスのセキュリティに関する情報を共有・分析する業界団体やコミュニティへ参加していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：自社の事業に関連するセキュリティコミュニティに参加している記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーセキュリティ経営ガイドライン：指示10"}]

{"sheet":"S(5)-2.1.2.1.1","index":283,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-2.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界団体やコミュニティの活動で得たセキュリティに関わる情報を、社内関係者に共有した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し、ソフトウェア製品及びサービスのセキュリティに関する知識を社内に共有していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n関係者に共有されていることを確認できれば、会社、部門等を代表して参加していなくともよい。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■活用実績を示すドキュメント\n・会合やトレーニングの参加報告"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制への貢献"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し、ソフトウェア製品及びサービスのセキュリティに関する知識・スキルを向上させる等自組織の取組に活用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：コミュニティ活動で得た情報を自社のセキュリティ対策に活用していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-161：3.2"}]

{"sheet":"S(5)-2.1.2.1.2","index":284,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-2.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界団体やコミュニティから得たセキュリティに関わる情報を基に、自社のセキュリティ対策への影響を評価、もしくは対策を更新した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n外部の知見を取り入れたセキュリティ対策を推進するため、業界団体やコミュニティが提供するトレーニングやワークショップ等に参加し得られた知見に基づき、自社のソフトウェア製品及びサービスのセキュリティに関する影響を評価、もしくは対策を更新等自組織の取組に活用していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■活用実績を示すドキュメント\n・セキュリティ対策に関する外部情報の活用に関する手順書、セキュリティ対策の評価結果（例：インシデント対応手順の更新、監視ルールの更新）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制への貢献"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：コミュニティ活動で得た情報を自社のセキュリティ対策に活用していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"SP800-161：3.2"}]

{"sheet":"S(5)-2.2.1.1.1","index":285,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-2.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて業界団体やコミュニティへ公表した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n情報の消費者の立場に終始するのではなく、自社製品の脆弱性について、自社のガイドラインに基づき調整し、必要に応じて公表していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。\n協力体制への参加により、セキュリティ確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティ改善アクションの効果・効率が高まり、結果としてソフトウェアの品質と組織のレジリエンスが向上することを想定する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■情報提供の実績を示すドキュメント\n・自社情報の公表の判断結果（例：自社製品の脆弱性）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制への貢献"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：コミュニティの運営や活動に積極的に関与していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"}]

{"sheet":"S(5)-2.2.1.1.2","index":286,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(5)-2.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界団体やコミュニティ活動の推進に関する積極的な関与に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\n情報の消費者の立場に終始するのではなく、コミュニティへの貢献者としての役割を果たすため、ISAC等の業界団体やコミュニティへ参加し、運営や活動に貢献していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\n組織活動に還元されていることを確認できれば、会社、部門等を代表して参加していなくともよい。\n協力体制への参加により、セキュリティ確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティ改善アクションの効果・効率が高まり、結果としてソフトウェアの品質と組織のレジリエンスが向上することを想定する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コミュニティの運営や活動への貢献実績を示すドキュメント\n・運営や活動の記録（例：ワーキンググループへの参加、レポートの共同執筆、イベントでの登壇、運営委員としての活動、取りまとめ要員の派遣、賛同資金の提供等）\n・自社情報の公表の判断結果（例：自社製品の脆弱性、自社で観測した（ただし個社や個人が特定されないよう匿名化・一般化された）脅威情報、攻撃の予兆、インシデントの教訓など）\n・必要に応じてJPCERT/CC等への脆弱性届出・公表の記録\n・コミュニティのメーリングリストや情報共有インフラへの投稿記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制への貢献"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニティや協力体制に参加する場合には、積極的に活動に関与し、協力体制に対して貢献する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"業界団体やコミュニティへ積極的に参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(5)-2.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]

{"sheet":"S(6)-1.1.1.1.1","index":287,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"オーナーシップを持つシステム及びソフトウェアのリスク管理の責任について（顧客の）経営層がコミットしていること。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nインタビュー評価： \n顧客経営層のリーダーシップにより、自組織がオーナーシップを持つシステム全体及びソフトウェアのリスク管理を顧客自ら主体的に行う取組方針を整備することについて、経営層が責務として認識し実施していることについて、「確認すべきエビデンス」欄に示すドキュメント、及び経営層へのインタビューをエビデンスとして評価する。」"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■システム及びソフトウェアのリスク管理に対する経営層のコミットメントに関するドキュメント\n・システム及びソフトウェアのリスク管理に対する組織としての取組方針（例：社内通達での経営メッセージ、組織としてのセキュリティポリシー）、及びロードマップ（調達（購入）基準へのセキュアバイデザイン・セキュアバイデフォルト慣行の採用方針）\n\n■経営層へのインタビュー\n・ソフトウェアのセキュリティに関するリスク管理の欠如（例：脆弱性の残存などによるビジネス損失）、及び主体的なセキュアバイデザイン・セキュアバイデフォルト慣行によるリスク軽減（例：脆弱性の早期発見などによるビジネス損失の防止）に関する経営層の認識"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客がオーナーシップを持つシステム全体及びソフトウェアのリスク管理に対して顧客自身が責任を持ち、独立した主体的な取組を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：リスク管理の責任について経営層のコミットメントを得ていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.1.1.2.1","index":288,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"システム及びソフトウェアのリスク管理を（顧客が）独立かつ主体的に実施している資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： 自組織がオーナーシップを持つシステム全体及びソフトウェアのリスク管理を顧客自ら主体的に行うことについて、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■システム・ソフトウェアのリスク管理に対する主体的な取組を示すドキュメント\n・経営層（経営トップ、上級マネジメント、承認権限者など）へのリスク識別及びリスク軽減に関する報告（リスク分析結果やリスク管理の取組方針の説明等）\n・経営層での報告や議論の記録（会議録等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客がオーナーシップを持つシステム全体及びソフトウェアのリスク管理に対して顧客自身が責任を持ち、独立した主体的な取組を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：リスク管理を独立かつ主体的に実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.1.2.1.1","index":289,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.1.2.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク管理上重要な事業者と、明確な責任分担と契約に基づきリスク管理を実施している資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n顧客経営層のリーダーシップにより、取引先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、契約により取り決めた手続に従ってリスクを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■事業者との責任分担と契約に関するドキュメント\n・ソフトウェア・システムのセキュアな調達・運用に関するドキュメント（例：基本方針、役割分担、セキュリティ確保・維持のための方針及び手続、予算化手続）\n■契約に基づき事業者と役割分担してシステム及びソフトウェアのリスク管理を実施した記録\n・リスク管理イベント記録（インシデント対応、脆弱性対応等）\n・ソフトウェアの脆弱性の疑いに関する事業者への情報提供の記録\n・リスク対応の一環で権限に基づいてソフトウェアを更新した記録\n・EOL/EOSに基づく計画及び対応（更新又はサービス移行等）の記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.1.2.1.2","index":290,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.1.2.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア・システムを調達する場合、顧客と供給者のセキュリティに関する責任を明確にし、透明性の高い事業者を優先的に採用したことを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n顧客経営層のリーダーシップにより、ソフトウェア・システム調達先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、透明性の高い事業者を優先的に採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■事業者との責任分担と契約に関するドキュメント\n・ソフトウェア製品利用において役割分担を明確にするための契約等のドキュメント（例：保守契約、使用許諾契約、リリースノート、サポート窓口、エスカレーションフロー、製品ライフサイクルロードマップ、サポートマトリクス（動作環境等）、EOL/EOS通知期間、構成情報（SBOM等を含む）、更新に関する権限及び手続、脆弱性開示ポリシー、脆弱性対応手続（目標期間（タイムライン）等）、その他セキュアな利用上の注意点）\n■事業者の採用根拠に関する記録\n・ソフトウェア・システム調達の採用根拠等の記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.1.2.1.3","index":291,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.1.2.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"システム運用・保守サービスを利用する場合、運用・保守委託先事業者と、インシデント対応・脆弱性対応・役割分担を含む契約を締結したことを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n顧客経営層のリーダーシップにより、システム運用・保守サービス先であるサイバーインフラ事業者と、インシデント対応、脆弱性対応を含む運用・保守の責務と役割を明確化し、契約により取り決めた手続に従ってリスクを管理することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■事業者との責任分担と契約に関するドキュメント\n・システムの運用・保守において役割分担を明確にするための契約等のドキュメント（例：運用・保守契約（責任境界定義、カスタムコードに対する契約不適合責任期間・有償保守等の特約を含む）、基本サービス契約、サービスレベル契約、構成管理台帳（SBOM等を含む）、インシデント対応の役割分担と対応方針、セキュリティ確保（脆弱性対応含む）の役割分担と対応方針）\n■事業者の採用根拠に関する記録\n・システム運用・保守サービスの採用根拠の記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.1.2.1.4","index":292,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.1.2.1.4"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"クラウドサービスを利用する場合、責任共有モデルに基づいて顧客と供給者のセキュリティに関する責任を明確にし、透明性の高いクラウド事業者を優先的に採用したことを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n顧客経営層のリーダーシップにより、クラウドサービスの取引先であるサイバーインフラ事業者とリスク対応の責務と役割を明確化し、透明性の高い事業者を優先的に採用することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェア及び/又はシステムを供給する事業者との契約前の段階である場合（この場合は、役割分担の確認段階と考えられる）、責任分担の明確化や契約締結に向けて、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■事業者との責任分担と契約に関するドキュメント\n・クラウドサービス利用において役割分担を明確にするための契約等のドキュメント（例：基本契約書・利用規約（責任共有モデルを前提とした責任境界定義、データ所有権・利用権、免責事項・賠償上限、準拠法・管轄裁判所、監査条項等）、各種ポリシー（パッチ適用責任等の運用、サポート、プライバシー、ライフサイクル等）、サービスレベル契約、サービス仕様書・説明書、セキュリティレポート（ホワイトペーパー、SOC2レポート、ISMAP登録証等）、インシデント対応の役割分担と対応方針、セキュリティ確保（脆弱性対応含む）の役割分担と対応方針）\n■事業者の採用根拠に関する記録\n・クラウドサービスの採用根拠等の記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク管理"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"顧客の独立した主体的な取組とサイバーインフラ事業者との契約に基づく取組を統合したリスク管理を実施する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.2"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア及び/又はシステムを供給する事業者との明確な責任分担と契約に基づく取組を統合したリスク管理を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.1.2.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェア及び/又はシステムのリスク管理上、重要なサイバーインフラ事業者とは責任分担と契約に基づいてリスク管理を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.2.1.1.1","index":293,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアのセキュリティ確保のための要件/基準と検証方法を定め、契約（締結済み又は締結予定の）事業者にエビデンスを要求したことを示す資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア・システムのセキュアな調達・運用のため、ソフトウェアのセキュリティ確保・維持のための要件/基準・検証方法に関する手続等を整備するとともに、契約に基づき事業者にエビデンスを要求することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■要件/基準・検証方法に関するドキュメント\n・ソフトウェア・システムのセキュアな調達・運用に関するドキュメント（ソフトウェアのセキュリティ確保・維持のための要件/基準・検証方法に関する手続等）\n・ソフトウェアのセキュリティ確保のための要件/基準・検証方法に関する記述\n・ソフトウェアのセキュリティ実装に係る証明情報（SBOM、SSDFの実装の適合性を証明する自己適合証明書など）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リソース整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.2.1.1.2","index":294,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.2.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアの更新ポリシー及びサポート期限に基づく運用計画及び体制に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、ソフトウェア・システムをセキュアに維持するため、導入ソフトウェアの更新ポリシーおよびサポート期限に関する運用計画と運用体制を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■運用計画及び体制に関するドキュメント\n・ソフトウェアの運用計画及び体制"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リソース整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.2.1.1.3","index":295,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.2.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアの既知の脆弱性への対処や緩和策を主体的に実施するための方針及び担当割当に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施するための計画および体制を整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対処のためのリソースに関するドキュメント\n・脆弱性対処を継続的かつ主体的に実施するための計画及び体制"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リソース整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.2.1.1.4","index":296,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.2.1.1.4"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"主体的取組を促進するための自組織の管理体制、関連事業者とのコミュニケーションパスを整備している資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施するために必要な自組織の体制を整備するとともに、必要な場合は事業者の協力を得るための契約やコミュニケーションパスを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■自組織の管理体制およびコミュニケーションパスに関するドキュメント\n・継続的な協力体制のベースとなる事業者との契約\n・主体的取組を促進するための自組織の体制\n・関連事業者とのコミュニケーションパス"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リソース整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：既存の脆弱性や緩和策への主体的な取組のためのリソースを割り当て、整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.2.1.2.1","index":297,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアの脆弱性に対して主体的に対処した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対処や緩和策を主体的に実施した記録\n・既存の脆弱性や緩和策に関する実施記録（顧客自身が独自に実施したもの）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リソース整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：既存の脆弱性や緩和策への主体的な取組に関する記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.2.1.2.2","index":298,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.2.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアの脆弱性に対して契約（締結済み又は締結予定の）事業者と協力して対処した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアの利用ライフサイクルを踏まえ、導入したソフトウェアに対する既知脆弱性への対処と緩和策を顧客自身が主体的に実施、及び必要な場合は契約に基づき事業者の協力を得て既知脆弱性への対処や緩和策を実施することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nシステムの開発初期段階などの場合（この場合は、システムの運用計画・体制の検討前、あるいは既存の脆弱性や緩和策の顧客自身による主体的な活動の計画・体制の検討前であるケース等が考えられる）、評価を実施するタイミングで作成済みのドキュメント（方針文書等）など、事前に準備すべきドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■脆弱性対処や緩和策を主体的に実施した記録\n・既存の脆弱性や緩和策に関する実施記録（契約に基づき事業者の協力を得て実施したもの）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リソース整備"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"既知の脆弱性への対処、及び緩和策を主体的に実施するためのリソースを割り当て、整備する（SBOM 活用を含む）。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアのセキュリティ確保のための主体的な取組に必要なリソースを整備していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：既存の脆弱性や緩和策への主体的な取組に関する記録が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-1.3.1.1.1","index":299,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"導入ソフトウェアのセキュリティに関する情報を得るためのチャネル参加に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n導入したソフトウェアのセキュリティを維持・改善するため、セキュリティに関する情報を取扱うチャネルに参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ情報収集の実績を示すドキュメント\n・参加するチャネル（例：Webサイト）等のリスト"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制の活用"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"}]

{"sheet":"S(6)-1.3.1.1.2","index":300,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.3.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティに関するコミュニティや協力体制への参加に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コミュニティからの情報収集の実績を示すドキュメント\n・参加するコミュニティ・協力体制と登録者のリスト\n・会合やトレーニングの参加報告"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制の活用"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"}]

{"sheet":"S(6)-1.3.1.1.3","index":301,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.3.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善した記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制から得た情報を基に、自組織のセキュリティ対策への影響を評価、もしくは対策を更新、セキュリティ確保のための要件/基準やプロセスを改善していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■自組織の改善への活用実績を示すドキュメント\n・セキュリティ対策に関する外部情報の活用に関する手順書、セキュリティ対策の評価結果（例：インシデント対応手順の更新、監視ルールの更新）\n・導入ソフトウェアのセキュリティ確保のためのプロセス改善等に活用した記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制の活用"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：ソフトウェアセキュリティに関するコミュニティの情報収集チャネルから得た情報を活用していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"}]

{"sheet":"S(6)-1.3.1.2.1","index":302,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニティへのリソース提供、及び支援活動への参加に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。コミュニティへの貢献者としての役割を果たすため、協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加し、情報共有や活動支援を実施していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コミュニティへの貢献を示すドキュメント\n・コミュニティを支援する活動の実施記録\n・コミュニティを介して共有展開する目的で提供した情報"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制の活用"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：コミュニティに対して積極的に貢献していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"}]

{"sheet":"S(6)-1.3.1.2.2","index":303,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-1.3.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"コミュニティに対して提供したセキュリティ改善への貢献が見込まれる資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのセキュリティを改善するためのコミュニティや協力体制に参加し、その活動に貢献することで、セキュリティの確保・維持・向上のための責務と役割に関する相互理解を深め、セキュリティを改善するためのアクションの効果・効率が高まる。コミュニティへの貢献者としての役割を果たすため、協力体制（民間企業の場合、ISAC等の業界団体など）やコミュニティへ参加し、守秘義務に配慮しつつ、情報共有や活動に貢献していることについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■コミュニティへの貢献を示すドキュメント\n・コミュニティを介して提供したセキュリティ改善への貢献が見込まれる情報（脅威情報、インシデント情報、セキュアな設定・運用に関するベストプラクティスに関する情報等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"協力体制の活用"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティの改善を目的とするコミュニティや協力体制を活用する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアセキュリティ改善を目的とするコミュニティや協力体制に参加し、改善活動に活用していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-1.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：コミュニティに対して積極的に貢献していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default"}]

{"sheet":"S(6)-2.1.1.1.1","index":304,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.1.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義した資料がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ要件の定義に関するドキュメント\n・セキュリティ機能に関するセキュリティ要件"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.1.1.1.2","index":305,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.1.1.1.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義した資料がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、セキュリティリスクを緩和するためのソフトウェアのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ要件の定義に関するドキュメント\n・リスク緩和のためのセキュリティ要件（リスク緩和のための機能、環境、運用、サプライチェーン等に係るセキュリティ要件）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.1.1.1.3","index":306,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.1.1.1.3"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"当局や信頼できる外部組織が整備したプロファイルに基づいて、ソフトウェアのセキュリティ要件を定義した資料がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際に、当局や信頼できる外部組織が整備したプロファイルに基づき、ソフトウェアが具備すべきセキュリティ機能を組込むためのセキュリティ要件を定義することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ要件の定義に関するドキュメント\n・外部プロファイル（リスクプロファイル、セキュリティプロファイル、プロテクションプロファイル、その他自組織の業務等が満たすべき標準や法令などを踏まえたプロファイル及び要件セット等）に基づくセキュリティ要件"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ機能を組込むためのセキュリティ要件を定義していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.1.1.2.1","index":307,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.1.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"RFPとして、定義したセキュリティ要件を提示した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、RFPとして導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、定義したセキュリティ要件を事前に提示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの導入構想段階、又はシステム計画の構想段階の場合（この場合は、RFPの策定前と考えられる）、構想段階で合わせて検討すべきセキュリティに関する方針整理など、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■調達・導入前に事業者にセキュリティ要件を提示したドキュメント\n・RFPに関する資料（例：調達仕様書・要件定義書等（定義したセキュリティ要件を含む））"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティ要件を調達・導入前に事業者に提示していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.1.1.2.2","index":308,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.1.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"RFIとして、定義したセキュリティ要件を提示した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、RFIとして導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、定義したセキュリティ要件を事前に提示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。\nソフトウェアの導入構想段階、又はシステム計画の構想段階の場合（この場合は、RFIの策定前と考えられる）、構想段階で合わせて検討すべきセキュリティに関する方針整理など、事前に準備すべきドキュメントを評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■調達・導入前に事業者にセキュリティ要件を提示したドキュメント\n・RFIに関する資料（定義したセキュリティ要件を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ要件の定義"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組み込むためのセキュリティ要件を定義し、ソフトウェアを調達・導入する前に、サイバーインフラ事業者に提示する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア設計計画にセキュリティ機能を組込むためのセキュリティ要件を定義し、サイバーインフラ事業者に提示していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.1.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティ要件を調達・導入前に事業者に提示していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.2.1.1.1","index":309,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.2.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアバイデザイン・セキュアバイデフォルト慣行に力点を置いた調達（購入）基準を整備した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア製品の導入・調達先もしくは委託先候補となるサイバーインフラ事業者に対して、要求するセキュアバイデザイン・セキュアバイデフォルト慣行等に関する調達（購入）基準を事前に整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■セキュリティ慣行を求めるソフトウェア調達（購入）基準に関するドキュメント\n・ソフトウェアの開発・供給・運用の役割を担当する事業者に求めるセキュアバイデザイン慣行の記述（設計段階からセキュリティを考慮、セキュアな利用・運用が可能、コードベース対象の脆弱性対応や想定内のインシデント対応等に追加コストが発生しない、等）\n・ソフトウェアの開発・供給・運用の役割を担当する事業者に求めるセキュアバイデフォルト慣行の記述（デフォルト状態でセキュリティ機能やセキュリティ設定を提供、セキュアな利用・運用をデフォルトで強制、等）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行の要求開示"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.2.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：セキュリティ慣行の要求を整備していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.2.1.2.1","index":310,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.2.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェア調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア製品を導入、又はシステム開発を調達しこれらを運用する際には、調達・導入先もしくは委託先候補となるサイバーインフラ事業者に対して、要求するセキュアバイデザイン・セキュアバイデフォルト慣行等を調達・導入前に開示することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■調達・導入前に事業者に求めるセキュリティ慣行を開示したドキュメント\n・RFPに関する資料（調達仕様書・要件定義書等（セキュリティ慣行の要求を含む））\n・その他の方法でセキュリティ慣行の要求を開示したドキュメント"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.2"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ慣行の要求開示"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの調達・導入前に、サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.2.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーインフラ事業者に求めるセキュリティ慣行の要求を開示していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.2.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティ慣行の要求を調達・導入前に開示していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.3.1.1.1","index":311,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.3.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアの調達・導入前に、事業者に必要な資料や情報を要求し、業務特性を踏まえたリスクに基づくセキュリティ評価を実施することを定めたポリシーに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、業務特性を踏まえたリスクに基づいてセキュリティを評価する調達・導入ポリシーを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアの調達・導入に関するドキュメント\n・ソフトウェア調達・導入ポリシー（業務特性を踏まえた事前のセキュリティ評価、及びリスク評価の義務付け）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク評価に基づく意思決定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.3.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：調達・導入前にリスク評価を行うことを義務付けたポリシーが存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.3.1.2.1","index":312,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.3.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュアバイデザイン・セキュアバイデフォルトの慣行に力点を置いた調達（購入）基準に基づき、ソフトウェアの調達・導入を優先するポリシーに関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、セキュアバイデザイン、セキュアバイデフォルトの慣行に則った開発・サポートが保証された製品であること、又は同慣行に従うことを保証するサイバーインフラ事業者であることを優先する調達・導入ポリシーを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアの調達・導入に関するドキュメント\n・ソフトウェア調達・導入ポリシー（セキュリティ慣行を保証する事業者を優先）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク評価に基づく意思決定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.3.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：セキュリティ慣行を保証する事業者を優先するポリシーが存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.3.1.3.1","index":313,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.3.1.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ポリシーに従い、ソフトウェア調達・導入の意思決定に必要なリスク判断を正式に文書化し、経営者が承認した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価：\nソフトウェア製品を導入、又はシステム開発・運用・保守を調達する際には、業務特性を踏まえたリスクに基づいてセキュリティを評価する調達・導入ポリシーに基づき、適正なリスク判断を行い、そのリスク判断を経営層が承認したうえで調達・導入することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■ソフトウェアの調達・導入に関する記録\n・ソフトウェア調達・導入に係る稟議結果（調達・導入の意思決定の根拠として、ポリシーに準拠すること、リスク評価に基づく判断（セキュリティ慣行等の要求を満たさない場合の採用に関するリスク判断を含む）、及び調達・導入の承認を含む）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.3"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"リスク評価に基づく意思決定"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアを調達・導入する際に、リスク評価に基づいた意思決定を行う。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.3.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適正なリスク評価に基づいてソフトウェア調達・導入の意思決定を行うこと。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.3.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：ポリシーに基づくリスク判断を行い、ソフトウェアの調達・導入を実施していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security by Design and Default\nDefending Against Software Supply Chain Attacks\nSECURING THE SOFTWARE SUPPLY CHAIN / Recommended Practices Guide for Customers"}]

{"sheet":"S(6)-2.4.1.1.1","index":314,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.4.1.1.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"自組織のリスク分析に基づきソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定した資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要なリスク緩和策や例外措置を策定することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■サイバーセキュリティに関する残存リスク対策に関するドキュメント\n・リスク分析結果に基づくリスク緩和策\n・セキュリティリスクに対する例外措置\n・セキュリティリスクに対する例外措置の根拠（リスク軽減、移転、保持の効果判定など）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"予算確保"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1.1"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目１：サイバーセキュリティに関する残存リスク軽減の方策を検討していること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーセキュリティ経営ガイドライン：指示3"}]

{"sheet":"S(6)-2.4.1.2.1","index":315,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.4.1.2.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算要求に関する記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を要求することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■経営層への予算申請に関するドキュメント\n・経営層向けのリスク軽減策に関する予算申請（例：人件費、教育費、ツール費用等のコストと投資対効果）の記録"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"予算確保"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：リスク軽減策の実施に必要な予算の申請手続が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーセキュリティ経営ガイドライン：指示3"}]

{"sheet":"S(6)-2.4.1.2.2","index":316,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.4.1.2.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズにおいて必要な費用の予算の申請手続に関する資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保する手続きを整備することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■経営層への予算申請に関するドキュメント\n・リスク対応に必要な予算を申請する場合の手続き"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"予算確保"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1.2"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目２：リスク軽減策の実施に必要な予算の申請手続が存在すること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーセキュリティ経営ガイドライン：指示3"}]

{"sheet":"S(6)-2.4.1.3.1","index":317,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.4.1.3.1"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"最低限/標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"セキュリティ活動のための予算が承認されていることを示す記録がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \nソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■予算の実行状況に関するドキュメント\n・セキュリティ関連の予算の承認記録（計画書、稟議書、予算執行実績など）"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル１（最低限要求）又は適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"予算確保"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：予算とリソースが確保されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーセキュリティ経営ガイドライン：指示3"}]

{"sheet":"S(6)-2.4.1.3.2","index":318,"n_rows":23,"n_cols":6,"rows_kept":23,"cut":false,"hidden":false,"merged":[[6,0,6,2],[7,0,7,2],[8,0,8,2],[9,0,9,2],[10,0,22,0],[10,1,10,2],[11,1,11,2],[12,1,12,2],[13,1,13,2],[14,1,14,2],[15,1,15,2],[16,1,16,2],[17,1,17,2],[18,1,21,1],[22,1,22,2],[5,0,5,2],[0,0,0,2],[1,0,1,2],[2,0,2,2],[3,0,3,2],[4,0,4,2]]}
["評価ID",null,null,"S(6)-2.4.1.3.2"]
["評価レベル",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価レベル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"標準"}]
["評価内容",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価内容]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"中長期的なセキュリティ対策方針に基づいた予算が経営方針として示された資料や情報がある。"}]
["評価方法概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価方法概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ドキュメント評価： \n中長期的なセキュリティ対策方針に基づいたソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄の各フェーズに必要なセキュリティに関わる予算（適正かつ継続的なリスク対応に必要な予算を含む）を確保することについて、責務として認識し実施していることを、「確認すべきエビデンス」欄に示すドキュメントをエビデンスとして評価する。"}]
["確認すべきエビデンス",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認すべきエビデンス]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"■予算の実行状況に関するドキュメント\n・中長期的なセキュリティ対策方針に基づいた予算化に関する経営方針"}]
["合否判定基準概説",null,null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[合否判定概説]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"適合性評価レベル２（標準要求）を選択した場合に評価を行う。\n\n「評価方法概説」に従い、確認すべき文書や資料の存在確認、運用状況の実態が確認できた場合、「適合」と判定する。\n確認すべき文書や資料の存在、もしくは運用状況の実態が確認できない場合は、「改善予定（未適合）」と判定する。\n責務や個別要求を除外することを顧客から指定されている場合や、対象ソフトウェアや業務の特性により対応する必要がない場合には、判断根拠を明記し、「N/A（対象外）」を選択することができる。\nなお、個票の評価ガイドシートに示されるエビデンス例はあくまでも例であり、実態として責務を満たすために確認できた文書や資料などがあれば、根拠と共に「適合」と判定する。"}]
["適合判定"]
["検出事項・適合判定根拠\n（社内確認用）"]
["検出事項・適合判定根拠\n（公開用）"]
["改善計画\n（適合判定が「改善予定」である場合）",null,null,null,null,{"$f":"HYPERLINK(\"#'評価チェックリスト'!B\" & MATCH(D1,評価チェックリスト!B:B,0), \"一覧に戻る\")","v":"一覧に戻る"}]
["参考情報","要求ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[要求ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4"}]
[null,"個別要求タイトル",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求タイトル]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"予算確保"}]
[null,"個別要求",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[個別要求]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクルを考慮した導入・運用・移行・廃棄、リスク対応、及び関連する契約に係る予算を継続的に確保する。"}]
[null,"確認項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1"}]
[null,"確認項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[確認項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"ソフトウェアのライフサイクル全体を通じて、サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討し、実施に必要な予算を確保し、対策を実施していること。"}]
[null,"評価項目ID",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目ID]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"S(6)-2.4.1.3"}]
[null,"評価項目",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[評価項目]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"評価項目３：予算とリソースが確保されていること。"}]
[null,"ソフトウェア種別"]
[null,"役割","開発者・供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.開発者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"供給者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.供給者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"運用者",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.運用者]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"-"}]
[null,null,"顧客",{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[役割.顧客]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"○"}]
[null,"参照すべき規程・ガイドとの関係",null,{"$f":"_xlfn.LET(_xlpm.v,IFERROR(_xlfn.XLOOKUP($D$1,tblJoinedCache[評価ID],tblJoinedCache[参照すべき規程・ガイドとの関係]),\"\"),IF(OR(_xlpm.v=\"\",_xlpm.v=0),\"-\",_xlpm.v))","v":"サイバーセキュリティ経営ガイドライン：指示3"}]

{"sheet":"_Lists","index":319,"n_rows":3,"n_cols":1,"rows_kept":3,"cut":false,"hidden":true,"merged":[]}
["適合"]
["改善予定（未適合）"]
["N/A（対象外）"]