「情報システムモデル契約」に改訂版 - セキュ仕様の作成プロセスも整理

特に今回の改訂では、「セキュリティ仕様書」の作成プロセスについて明確化を図っており、プロセスの解説やプロセスを前提とする契約書の条項について整理している。

広く公表されているセキュリティ基準を使用し、システム稼働環境を踏まえてユーザーとベンダーがセキュリティ仕様書を作成することを想定。

必要な情報を相互で提供し、脅威の把握やリスク評価を実施。対策の実装について有無を決定、合意し、セキュリティ仕様書に反映することとし、対策を実装しない場合についても理由など記録を残すことが重要と指摘している。

また参照するセキュリティ基準等公表情報の一例として、関連文書「情報システム開発契約のセキュリティ仕様作成のためのガイドライン」と「セキュリティ仕様策定プロセス」をあわせて作成、公開した。

（Security NEXT - 2020/12/22 ）ツイート