1 派遣を含む全従業員に対して、採用、退職等の際に本人または派遣会社等と守秘義務に関する書面を取り交わし、情報セキュリティに関する就業上の義務を明確にしている。

2 すべての従業員に最新のサイバーセキュリティに関するルール、情報管理等を認識させるための計画的な教育・指導を年に１回以上、定期的に実施している。

3 サイバーセキュリティ対策を行うため、経営者とセキュリティ担当者をつなぐ仲介者としてのCISO等からなる適切なサイバーセキュリティリスクの管理体制を構築し、各関係者の責任が明確になっている。

4 サイバーセキュリティに関する事故の発生時に、迅速に初期対応を実施するための初動対応マニュアルの策定、組織内のCSIRT構築など体制整備を行なっている。

5 従業員に対して、セキュリティリテラシーの向上のために、メールの添付ファイル開封、URLのクリックを安易に行わない等の標的型メール攻撃に対する訓練または研修を年1回以上、定期的に実施している。

6 業務の委託先のサイバーセキュリティリスク管理を目的として、「サイバーセキュリティの項目を設けた委託先選定評価」および「委託先の申告に準じたセキュリティ対策が実施されているかの監査・レビュー」を実施している。

7 系列企業、サプライチェーン等のビジネスパートナーにおいてサイバーセキュリティ対策が適切に行われていることを把握し、契約書等で合意を得ている。

8 クラウドサービスを利用する際、サービス提供条件・規約または契約内容より、十分なサイバーセキュリティ対策を行っていると確認できたクラウドサービス/業者のみを選定している。

9 第三者に対して、情報システムの開発・運用、クラウドサービスの運営等のシステムに関連する業務またはサービスを提供をする際の契約書・仕様書には、サービスの品質およびサイバーセキュリティ上の観点から、SLA、機密保持および責任分担を明記している。

10 第三者に対して、情報システムの開発・運用、クラウドサービスの運営等のシステムに関連する業務またはサービスを提供をする際、仕様書が確実に実現されているか必ず事前にテストを行い、瑕疵、不具合等を発見した場合には修正のうえ提供している。

11 重要な情報（個人情報、機密情報等）を含むデータまたは書類は、アクセス制御されたサーバ内または施錠されたラック内に保管されている。

12 情報システム、ハードウェアその他記憶媒体に保存している重要な情報（個人情報、機密情報等）は、廃棄時点のみではなく、不要となった時点で削除することを規定し、削除の実施状況について、年1回以上、点検・監査を実施している。

14 業務データだけでなく、システムの稼働に必要な設定ファイル、プログラム等も含めバックアップ対象を選定し、対象データごとに適切な間隔でバックアップを行い、バックアップデータは外部記憶媒体・装置等でネットワークから隔離した場所にも保管している。

15 重要なデータおよび情報システムへのアクセスには、ログイン認証、アクセス制御等の適切な対策が実施されている。

16 業務利用している情報および情報システムに対するアクセス制御について、規定されたルールに基づき、不要・変更となったアカウント（退職した従業員のもの等）が残存することがないようにID・パスワードの登録、削除またはアクセス権限の変更を適切に管理している。

17 重要なデータおよび情報システムの管理のための特権ID/アカウントについて、以下の選択肢より、該当するものにチェックを入れてください。

18 悪意のある第三者が作成した不正なサイト等へのアクセスを防止するためにWebフィルタリングを導入して対策を行っている。

19 テレワーク等、外部から社内の業務システム、ネットワーク機器等へリモートアクセスする際のアカウント認証には、多要素認証方式を採用している。
※社外からのリモートアクセスを禁止している場合は「はい」を選択ください。

20 インターネットを介してやり取りする重要なデータには、VPN（Virtual Private Network）を利用する、専用線を構築するなど適切な保護対策を実施している。

21 システム機器およびソフトウェアに対して、アンチウィルスソフトまたはマルウェア対策のソフトを導入し、常にツールを最新化（バージョンアップ、修正パッチの適用、機能設定の見直し等）して運用している。

22 業務で使用する端末、アプリケーション、OS、その他各種システムのパスワードは、複雑（文字・数字・記号のいずれか2つ以上を使用）かつ長い（10桁以上）文字列を設定するようにシステムで制御・管理している。

23 社内からのすべてのインターネット接続およびDMZと内部ネットワーク境界との間に、ファイアウォールなどを設置し、適切な設定をしている。

24 不正なアクセスの検知・遮断のために、IPSまたはIDS（不正侵入防御/検知システム）を導入し、常にツールを最新化（バージョンアップ、修正パッチの適用、機能設定の見直し等）して運用している。

25 WEBサイト等のWEBアプリケーションに対するサイバー攻撃の防御のために、WAF（Web Application Firewall）を導入し、常にツールを最新化（バージョンアップ、修正パッチの適用、機能設定の見直し等）して運用している。

26 脆弱性診断またはペネトレーションテストを１年に１回以上の頻度で定期的に実施している。

27 会社で保有するすべてのシステム資産（PC端末、サーバ、ネットワーク機器、モバイル通信機器等のハードウェアおよびそれらにインストールされるソフトウェア）について、台帳管理が行われ、１年に１回以上の頻度で定期的に更新・管理をしている。

28 インターネットへ接続が可能な社内ネットワークにおいて、Windows-XP、Windows-７等のサポートが終了しているOS（オペレーションソフト）を使用しているサーバ、PC端末等は存在しない。

29 自社のホームページおよび運営するWEBサイト（商品の売買および決済を伴うものを含みます）のすべてについて、SSLによる暗号化を行っている。
※ホームページ・WEBサイトが一切ない場合は、「はい」を選択してください。

30 ECサイト運営等、インターネット等の通信手段を利用した取引を行う場合、多要素認証方式の導入、不正なログイン・異常な取引を検知および利用者へ通知する体制の整備等、適切なセキュリティ対策を実施している。
※ECサイト運営等を一切行っていない場合は、「はい」を選択してください。

31 サイバーインシデントの発生時、システム（アプリケーション、ハードウェアまたはユーティリティ設備を含む）が使用不能となった場合、復旧、再構築から実稼働までに１か月以上の期間（代替品の手配期間等を含む）を要するシステムはない。

32 サイバーインシデント発生時の復旧および事業継続の計画（BCP）プランについて、以下の選択肢より、該当するものにチェックを入れてください。

33 24時間/365日、ネットワークおよびシステム機器の監視を行い、サイバーインシデントの検知、アラート発信、分析等を行う体制を敷いている。または、同様の機能を有するSOC（Security Operation Center）サービスを導入している。

34 サイバー攻撃者の動機、標的、攻撃手法、振る舞い等の最新情報、ダークウェブで取扱いされる情報等、サイバーセキュリティの脅威に関連する情報を収集・分析し、プロアクティブな防御対策を立案・実施している。または、脅威インテリジェンスサービスを導入している。

35 利用するクラウドサービスについて、提供されるクラウドサービスのサイバーセキュリティ対策が、契約や申告に準じた内容となっているかを適切に管理するための評価を１年に１回以上行っている。または、クラウドリスクの評価サービスを継続的に導入している。