c. Changes and updates to user profiles

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は可用性の原則と基準の表のc. Changes and updates to user profilesです。

c. Changes and updates to user profiles:
c. ユーザープロファイルの変更と更新：

• Changes and updates to self-registered customer accounts can be done by the individual user at any time on the entity’s Web site after the user has successfully logged onto the system. Changes are reflected immediately.
• 自己登録顧客アカウントの変更と更新は、ログオンに成功後、個々のユーザーがいつでも ウェブサイトで行うことができる。
• Unused customer accounts (no activity for six months) are purged by the system.
• 利用されない顧客アカウント（6ヶ月以上活動なし）はシステムによって削除される。
• Changes to other accounts and profiles are restricted to the security administration team and require the approval of the appropriate line-of-business supervisor or customer account manager.
• 他のアカウントとプロファイルへの変更はセキュリティ管理チームに限定され、適切なビジネスラインの管理者や顧客のアカウ ントマネージャの承認が必要であ る。
• Accounts for terminated employees are deactivated upon notice of termination being received from the human resources team.
• 雇用が終了した従業員のアカウントは人事チームからの終了通知に基づき無効化される。

b. Identification and authentication of users

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は可用性の原則と基準の表のb. Identification and authentication of usersです。

b. Identification and authentication of users:
b. ユーザーの識別と認証：

• Users are required to log on to the entity’s network and application systems with their user ID and password before access is granted. Unique user IDs are assigned to individual users. Passwords must contain at least characters, one of which is nonalphanumeric. Passwords are case sensitive and must be updated every 90 days.

• ユー ザーはアクセスが認められる前に、ユーザーIDとパスワードでのネットワークとアプリケーションシステムへのログオンを求められる。ユニークユーザーIDが個人ユーザーに割り当てられる。パスワードは少なくとも6文字を含み、内1文字は英数字以外でなければならない。パスワードは大文字と小文字が区別され、90日毎に更新されなければならない。

a. Registration and authorization of new users

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は可用性の原則と基準の表のa. Registration and authorization of new usersです。

Illustrative Controls
統制の実例

a. Registration and authorization of new users:
a. 新規ユーザーの登録と認証:

• Customers can self-register on the entity’s Web site, under a secure session in which they provide new user information and select an appropriate user identification (ID) and password. Privileges and authorizations associated with self-registered customer accounts provide specific limited system functionality.
• 顧客は ウェブサイトにて、新規ユーザーに関する情報が供給され、専用のユーザー識別（ID)とパスワードを選べる安全なセッションのもとで、自身で登録すること ができる。自己登録の顧客アカウントは特定の限定された権利と権限が与えられる。

• The ability to create or modify users and user access privileges (other than the limited functionality “customer accounts”) is limited to the security administration team.
• ユー ザーを新規作成したり変更する能力とユーザーアクセスの権利（機能限定された"顧客アカウント"以外の） はセキュリティ管理チームに限定される。

• The line-of-business supervisor authorizes access privilege change requests for employees and contractors. Customer access privileges beyond the default privileges granted during self-registration are approved by the customer account manager. Proper segregation of duties is considered in granting privileges.
• 基幹業務管理者 が従業員や請負業者のためのアクセス権限の変更要求を承認します。自己登録時に付与されたデフォルトの権限を超えた顧客のアクセス権限は、顧客アカウントのマネージャによって承認される。権利を認めるには職務の分離が考慮される。

基準3.4

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は可用性の原則と基準の表の基準3.4です。

Security-related criteria relevant to the system’s availability
システムの可用性に関連したのセキュリティ関係の基準

Criteria 3.4
Procedures exist to restrict logical access to the defined system including, but not limited to, the following matters:
a. Registration and authorization of new users.
b. Identification and authentication of users.
c. The process to make changes and updates to user profiles.
d. The process to grant system access privileges and permissions.
e. Restriction of access to system configurations, superuser functionality,
master passwords, powerful utilities, and security devices (for example, firewalls).
基 準 3.4
以下の事柄を含む（がそれらに限定されない）定義された システムへの論理的アクセスを制限する手順が存在する。
a. 新規ユーザーの登録と認証
b. ユーザーの識別と認証
c. ユーザープロファイルの変更と更新手順
d. システムのアクセス権限およびアクセス許可の付与手順
e. システム設定、スーパーユーザー機能、マスターパスワード、強力なユーティリティ、セキュリティデバイス（例：ファイアウォール）へのアクセス制限

基準3.3

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は可用性の原則と基準の表の基準3.3です。
Criteria 3.3
Procedures exist to provide for the integrity of backup data and systems maintained to support the entity’s defined system availability and related security policies.
基準 3.3
バックアップデーターの完全性と定義されたシステムの可用性をサポートするシステム保 守と関連するセキュリティーポリシーを供給するための手順が存在する。

Illustrative Controls 
統制の実例
Automated backup processes include procedures for testing the integrity of the backup data.
自動バックアッププロセスにはバックアップデーターの完全性のテストの手順が含まれる。

Backups are performed in accordance with the entity’s defined backup strategy, and usability of backups is verified at least annually.
Backup systems and data are stored offsite at the facilities of a thirdparty service provider.
バックアップはバックアップ戦略にしたがって行われ、 バックアップの有用性は少なくとも年次に検証される。
バックアップシステムとデー ターは第三者のサービス提供者の施設においてオフサイトで保管される。

Under the terms of its service provider agreement, the entity performs an annual verification of media stored at the offsite storage facility. As part of the verification, media at the offsite location are matched to the appropriate media management system. The storage site is reviewed biannually for physical access security and security of data files and other items.
サービス提供者との合意条件のもとでオフサイト倉庫施設に保管さ れた媒体の年次検証を行う。検証の一環として、オフサイトの倉庫施設に保管されている媒体は 適切な媒体管理システムと照合される。ストレージサイトは隔年ごとに物理的なアクセスセキュ リティとデーターファイルや他のアイテムのセキュリティを確認される。

Backup systems and data are tested as part of the annual disaster recovery test.
バックアップシステムとデーターは年次災害復旧テストの一環としてテストされる。

基準3.2（下）

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は可用性の原則と基準の表の基準3.2（下）です。
The disaster recovery plan defines the roles and responsibilities and identifies the critical information technology application programs, operating systems, personnel, data files, and time frames needed to ensure high availability and system reliability based on the business impact analysis.
災 害復旧計画は、役割と責任を定義し、重要な情報技術のアプリケーションプログラム、オペレーティングシステム、従業員、データファイル、ビジネス影響度分析に基づいた高可用性とシステムの信頼性を確 保するため必要なタイ ムフレームを特定する。
The business continuity planning (BCP) coordinator reviews and updates the business impact analysis with the lines of business annually.
事業継続計画（ＢＣＰ）コーディネーターは毎年ビジネスラインのビジネス影響度分析を確認し更新する。
Disaster recovery and contingency plans are tested annually in accordance with the entity’s system availability policies. Testing results and change recommendations are reported to the entity’s management committee.
災害復旧と危機管理計画は毎年システム可用性計画に従いテストされる。テストの結果と変更提言は経営委員会へ報告され る。
The entity’s management committee reviews and approves changes to the disaster recovery plan.
経営委員 会は災害復旧計画の変更を確認し承認する。
All critical personnel identified in the business continuity plan hold current versions of the plan, both onsite and offsite. An electronic version is stored offsite.
事業継続計画で特定された全ての重要な従業員は計画の最新版をオンサイトとオフサイトで持つ。電子版はオフサイトに保 管される。

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は可用性の原則と基準の表の基準3.3です。

基準3.2（上）

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は可用性の原則と基準の表の基準3.2（上）です。

Criteria 3.2
Procedures exist to provide for backup, offsite storage, restoration, and disaster recovery consistent with the entity’s defined system availability and related security policies.
基準 3.2
定義されたシステムの可用性と関連するセキュリティポリシーと一致した、バックアップ、オフサイトストレージ、復旧そ して災害復旧手順が存在する。

Illustrative Controls
統制の実例
Management has implemented a comprehensive strategy for backup and restoration based on a review of business requirements. Backup procedures for the entity are documented and include redundant servers, daily incremental backups of each server, and a complete backup of the entire week’s changes on a weekly basis. Daily and
weekly backups are stored offsite in accordance with the entity’s system availability policies.
経営者は、ビジネス要件の評価に基づいて、バッ クアップと復元のための包括的な戦略を実装する。バックアップ手順が記載されて、冗長サーバー、各サー バーの毎日の増分バックアップ、および週単位で1週間の変更の完全なバックアップが含まれる。毎日および毎週のバックアップはエンティティのシステム の可用性ポリシーに応じてオフサイトに格納されます。
Disaster recovery and contingency plans are documented.
災害復旧及び危機管理計画は文書化されてい る。