個人向け商取引のまとめ

業務の特徴
　便利性中心、外部端末は個人持ちを使用。インターネットにサイトを公開
保護対象とする電子情報資産
　顧客情報（個人情報）、与信情報、注文情報。ただし個人属性は、郵送用属性のみ収集。
環境既定ポイント（システムセンター）
　障害時２時間以内召集可能な位置。堅牢設計の建物。入管、入室はＩＤカードレベルでの認証、運用監視室はリモートによる本社設置可。
システム既定ポイント
　レイヤ１（ネットワークレベル）：ネットワーク構成はＤＭＺあり。決済期間は専用線接続。本社ーシステムセンター、リモート運用監視はＶＰＮ接続。
　レイヤ２（ＯＳレベル）：外部端末とＷｅｂサーバは、ＳＳＬ（サーバ認証）による個人属性、クレジット情報の一部暗号。顧客情報はＤＢ暗号化。外部からのプロトコル許可はＨＴＴＰ、ＨＴＴＰＳ、ＳＭＴＰ、ＤＮＳ
　レイヤ３（業務レベル）：
　・対外部端末：アプリケーション認証はＩＤとパスワード。（認証後のセッション管理、入出力データチェックは外部―内部端末、全業務共通のため省略）。クレジットカードの下４桁表示。
　・対内部端末：顧客検索画面への一覧表示は氏名のみ。個人属性は１画面一人の表示。
　レイヤ外（端末）：内部端末は、全業務共通のため省略（ＩＣカード系デバイスとパスワード）
　検知機能：ＤＭＺへのＩＤＳ設置と改ざん見地必須。（ログ、ウイルス駆除は全業務共通で省略）
運用規程ポイント
　全体運用：不正アクセスの内部違反は不正の大小で異動、減俸、懲戒免職。セキュリティー障害の召集は２時間以内。暫定復旧２時間以内。セキュリティー評価サイクルは外部評価、内部評価ともに年１回。
　環境運用：全業務共通のため省略（入出館、入退室管理、防犯・監視カメラ監視と問題発生管理）
　業務・システム運用：印刷は承認必須。顧客情報は原則印刷禁止。顧客の過失、不正の免責必須。セッションタイムアウト１０分、バックアップは顧客情報を案互換
　開発運用：顧客情報を含む本番データのテスト使用禁止。
外部委託範囲
　システムセンター部分はiDCへの外部委託。システム開発、システムセンター内運用（バックアップ、バッチ、ウイルスパタン登録）も外部委託可。