この表には FISC 安全対策基準（第 11 版）の実務基準に対する BLEA for FSI での対策についてのみ記載しています。総合的なシステム全体の安全対策に関しては、ユーザーアプリケーション側の実装とシステム運用・開発プロセス等での対策を含めて検討して下さい。
| 実務基準番号 | 共通統制環境(ガバナンスベーステンプレート)の対策内容 | 金融ワークロードテンプレートの対策内容（マーケットデータ） | 使用者側での追加の対策の例/考慮事項 |
|---|---|---|---|
| 実 1 | - AWS IAM Identity Center による AWS 利用ユーザーの保護（パスワードポリシーの適用、一時認証情報の利用） | 対象外（業務アプリケーションでの対策） | データプロバイダからのデータフィードサービスを受ける際の認証情報(自分の認証情報)を適切に管理する。例えば、データプロバイダごとにパスワードを変える、定期的にパスワードをローテーションする等。マーケットデータコンシューマの認証においては、認証画面で認証情報を非表示にする、パスワードポリシーを設定する、伝送データの暗号化(実 4)等を行う。 |
| 実 2 | 対象外（自動着信機能を持った端末へのマーケットデータを送信することは想定していないため） | 対象外（自動着信機能を持った端末へのマーケットデータを送信することは想定していないため） | |
| 実 3 | - AWS Control Tower ガードレールによる保護（Amazon EBS の暗号化、Amazon S3 バケットの保護、Amazon RDS データベースの保護） | データは AWS KMS で暗号化を行い、暗号鍵への適切なアクセス権の設定を行う。データを蓄積している AWS リソースに対しては適切な IAM ポリシーを設定してデータ漏洩を防止する。 | AWS KMS キーポリシーを使ったアクセス制御、および暗号化鍵ローテーションの管理 |
| 実 4 | - Amazon S3 バケットへの TLS 必須 - Amazon SNS Topic への SNS 必須 |
対象外（業務アプリケーションでの対策） | データプロバイダ、データコンシューマとの通信時にマーケットデータを TLS によって暗号化する。パブリック/プライベートのサーバー証明書を AWS Certified Manager で管理し、Amazon ELB、Amazon API Gateway に関連付けを行う。 |
| 実 5 | - Amazon S3 バケットの IAM ポリシーおよびリソースポリシーによるアクセス元の制御 | ファイル破損および不正アクセスからデータを保護するために、ファイルアクセスに対しては適切な IAM ポリシーを設定する | AWS IAM Access Analyzer を使った利用されていないアクセス権限のチェック |
| 実 6 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | データプロバイダからのデータ取り込みおよびデータコンポーザアプリケーションにおいて、適切なデータフォーマットチェックを行う。 |
| 実 7 | 対応策は実 4 と同じ | 対象外（業務アプリケーションでの対策） | 対応策は実 4 と同じ |
| 実 8 | - AWS IAM Identity Center 利用による認証情報の一元管理 - AWS IAM Identity Center での MFA の有効化 - AWS Control Tower ガードレールの有効化（IAM ユーザーの MFA 有効化、ルートユーザーの MFA 有効化） |
対象外（業務アプリケーションでの対策） | 適切な通信先であることを確認するためにアプリケーション側で適切な認証を行う。認証情報の保護については実 1 を参照。 |
| 実 9 | - AWS Control Tower ガードレールの有効化（ルートユーザーに対する保護） | IAM ロールの一時クレデンシャルを用いた各リソースへのアクセス | 認証チャレンジおよびセッション時間等のコントールはアプリケーション側で制御する |
| 実 10 | - 管理コンソールへのアクセス履歴は UTC（協定世界時）で CloudTrail に記録される - （オプション） 特定 Amazon S3 バケットに対する AWS CloudTrail データイベントログの取得 |
Amazon CloudWatch にてマーケットデータ提供サービス関連のリソースアクセスの履歴を監査証跡として保管する。マーケットデータコンシューマのアクセスログについてはアプリケーション側で取得、保管する。補完されたデータ保護に関しては実 3 を参照。 | |
| 実 11 | 対象外(金融取引を行うサービスではないため) | 対象外(金融取引を行うサービスではないため) | |
| 実 12 | 対象外(金融取引を行うサービスではないため) | 対象外(金融取引を行うサービスではないため) | |
| 実 13 | - AWS CloudTrail、AWS Config ログの暗号化鍵は、 AWS Key Management Service カスタマーマスターキー（CMK）を使用して保護 | AWS KMS による暗号化鍵の保護 | - 暗号化秘密鍵の管理者とデータ所有者を分割する職掌分離の実施 - AWS KMS キーポリシーを使ったアクセス制御、および暗号化鍵ローテーションの管理 - Cloudfront ログ用の S3 バケットの暗号化は KMS-S3 を使用しているので、KMS-CMK に変更する |
| 実 14 | - Amazon GuardDuty による VPC ネットワークの保護 | インターネットからのアクセスについては接続エンドポイント(Amazon ELB、Amazon API Gateway 等)で通信プロトコルを制限し、外部ネットワークからの不正侵入防止を行う。アプリケーション側で通信相手の認証を行う。 | |
| 実 15 | - AWS Control Tower ガードレールの有効化（Security Group の設定のチェック） | 実 14 と同様に、インターネットからのアクセスについては接続エンドポイント(Amazon ELB、Amazon API Gateway 等)で通信プロトコルを制限し、外部ネットワークからの不正侵入防止を行う。アプリケーション側で通信相手の認証を行う。 | 管理機能に対しての IAM ポリシーを利用した接続元 IP アドレスの制限 |
| 実 16 | - Amazon GuardDuty による VPC ネットワークの保護 | 対象外（業務アプリケーションでの対策） | マーケットデータ提供サービスへのアクセスログはアプリケーション側で取得する。保管されたデータの保護は実 3 を参照。 |
| 実 17 | 対象外（業務アプリケーションでの対策） | 対象外(金融取引を行うサービスではないため) | |
| 実 18 | 対象外（業務アプリケーションでの対策） | 対象外(金融取引を行うサービスではないため) | |
| 実 19 | - AWS CloudTrail による証跡（マルチリージョン、マルチアカウント） - AWS Config による設定の履歴管理（マルチリージョン、マルチアカウント） - AWS Control Tower ログ集約アカウントへの監査ログの集約と保護 |
対象外（業務アプリケーションでの対策） | 不正アクセスの拡散防止のためにサービス閉塞、復旧の制御はアプリケーション側で行う。 |
| 実 20 | - GuardDuty、SecurityHub による振る舞い検知、アプリケーションの脆弱性を突いた攻撃の検知 - セキュリティグループ変更の検出とアラート通知 |
- セキュリティグループによる ECS コンテナアプリケーションの通信制御 | - Amazon Inspector による ECR コンテナイメージ/EC2/Lambda 関数 の脆弱性スキャン機能の利用 |
| 実 21 | 対象外（管理・運用プロセスでの対策） | 実 20 と同じく、コンテナビルドする際に信頼できるコンテナイメージおよびライブラリであることを確認する。Amazon ECR でコンテナの脆弱性検証を行う。 | 対応策は実 20 と同じ |
| 実 22 | 対象外（管理・運用プロセスでの対策） | Amazon GuardDuty で通常と異なる不正な振る舞いを検知する。 | |
| 実 23 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 24 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 25 | IAM ポリシーにより最小限の権限のみ付与 | 最小権限の原則に基づいて AWS IAM で適切にアクセス権限を設定する。アクセス履歴は Amazon CloudTrail で証跡として保管する。 | |
| 実 26 | 対応策は実 1 と同じ AWS IAM Identity Center のパスワードポリシーによる AWS 利用ユーザーの保護 | 対象外（業務アプリケーションでの対策） | パスワードポリシーを設定し、パスワードの強度を上げる。認可レベルに応じて他要素認証を要求するようにする。 |
| 実 27 | 対象外（管理・運用プロセスでの対策） | アクセス権付与に関しては相互牽制が機能するように手続きを明確化する。定期的なアクセス権限の見直しは AWS IAM アクセスアドバイザー等により実施する。 | |
| 実 28 | 対象外（記憶媒体を介したデータファイルの授受は想定していないため） | 対象外（記憶媒体を介したデータファイルの授受は想定していないため） | |
| 実 29 | 対象外（記憶媒体を介したデータファイルの授受は想定していないため） | 対象外（記憶媒体を介したデータファイルの授受は想定していないため） | |
| 実 30 | - 暗号化鍵の管理は AWS Key Management Service カスタマーマスターキー（CMK）を利用 | 実 3 と同じく、データは AWS KMS で暗号化を行い、暗号鍵への適切なアクセス権の設定を行う。データを蓄積している AWS リソースに対しては適切な IAM ポリシーを設定してデータ漏洩を防止する。 | - 暗号化鍵ローテーションの管理 |
| 実 31 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 32 | 対象外（管理・運用プロセスでの対策） | 実 20 と同じく、コンテナビルドする際に信頼できるコンテナイメージおよびライブラリであることを確認する。Amazon ECR でコンテナの脆弱性検証を行う。 | |
| 実 33 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | 接続形態は利用者ごとに判断する。 |
| 実 34 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | データプロバイダおよびデータコンシューマとの接続方法および手続きについては利用側で管理する。 |
| 実 35 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 36 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 37 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 38 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 39 | メンバーアカウントにおけるガバナンスベース部分の環境構築方法と設定内容を CDK（IaC）によりバックアップ | - Amazon Kinesis Data Stream はデータを物理的に隔離されたロケーションに標準で 24 時間(最大 7 日)までデータ保持可能。 - ECR のクロスリージョンレプリケーション有効化 - 本ワークロードを構成する AWS サービスの環境構築方法と設定内容を CDK（IaC）によりバックアップ |
|
| 実 40 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 41 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 42 | - AWS Cloud Development Kit (AWS CDK)の利用 - AWS Config により設定変更履歴の管理 |
ルーティング設定は AWS Config で記録する。ネットワーク設定変更できる権限情報は適切に管理する。 | AppConfig による各システム毎の設定情報管理の実装 |
| 実 43 | - 対応策は実 42 と同じく、 - AWS Cloud Development Kit (AWS CDK)の利用 - AWS Config により設定変更履歴の管理 |
ルーティング設定は AWS Config で記録する。ネットワーク設定変更できる権限情報は適切に管理する。 | 対応策は実 42 と同じ |
| 実 44 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 45 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 46 | 対象外（業務アプリケーションでの対策） | Amazon CloudWatch 等を用いてコンピュートリソース、NW 帯域等を監視する。 | AWS CloudWatch Logs ログデータの分析に CloudWatch Logs Insight を利用可能 |
| 実 47 | 対象外（業務アプリケーションでの対策） | 実 46 と同じく、Amazon CloudWatch 等を用いてコンピュートリソース、NW 帯域等を監視する。 | - AWS Cost and Usage Report(CUR)を使用して、詳細な組織全体のコストと使用量を可視化 - AWS Service Quotas を使ったリソース上限の確認 |
| 実 48 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 49 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 50 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 51 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 52 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 53 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 54 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 55 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 56 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 57 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 58 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 59 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 60 | 対象外（AWS クラウド側で対策済み） | 対象外（AWS クラウド側で対策済み） | |
| 実 61 | 対象外（業務アプリケーションでの対策） | 対象外(金融取引を行うサービスではないため) | |
| 実 62 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 63 | 対象外（業務アプリケーションでの対策） | 対象外(金融取引を行うサービスではないため) | |
| 実 64 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 65 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 66 | 対象外（業務アプリケーションでの対策） | 対象外（物理的な帳票に関する項目のため） | |
| 実 67 | 対象外（業務アプリケーションでの対策） | 対象外（物理的な帳票に関する項目のため） | |
| 実 68 | 対象外（業務アプリケーションでの対策） | 対象外（物理的な帳票に関する項目のため） | |
| 実 69 | 対象外（業務アプリケーションでの対策） | データは AWS KMS で暗号化を行い、暗号鍵への適切なアクセス権の設定を行う。データを蓄積している AWS リソースに対しては適切な IAM ポリシーを設定してデータ漏洩を防止する。 | |
| 実 70 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | |
| 実 71 | 対象外（管理・運用プロセスでの対策） | AZ 障害への耐性は有しているが、大規模な障害が発生した場合、サービス復旧を待つかセカンダリリージョンへの切り替え等を判断する必要がある。データプロデューサ、データコンシューマともに接続先の切り替え、リソースの作成等にかかる時間と維持コストを考慮する。 | |
| 実 72 | 対象外（業務アプリケーションでの対策） | - VPC フローログの取得 - Application Load Balancer のアクセスログ作成の有効化 - Amazon CloudWatch を用いた Application Load Balancer や Aurora、DynamoDB、Amazon Elastic Container Service (Amazon ECS)リソースのモニタリング |
|
| 実 73 | 対象外（管理・運用プロセスでの対策） | 実 71 と同じく、AZ 障害への耐性は有しているが、大規模な障害が発生した場合、サービス復旧を待つかセカンダリリージョンへの切り替え等を判断する必要がある。データプロデューサ、データコンシューマともに接続先の切り替え、リソースの作成等にかかる時間と維持コストを考慮する。 | |
| 実 74 | 大阪リージョンへのガバナンスベースのデプロイ | 実 71 と同じく、AZ 障害への耐性は有しているが、大規模な障害が発生した場合、サービス復旧を待つかセカンダリリージョンへの切り替え等を判断する必要がある。データプロデューサ、データコンシューマともに接続先の切り替え、リソースの作成等にかかる時間と維持コストを考慮する。 | |
| 実 75 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 76 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 77 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 78 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 79 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 80 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 81 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 82 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 83 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 84 | 対象外（AWS クラウド側で対策済み） | 実 71 と同じく、AZ 障害への耐性は有しているが、大規模な障害が発生した場合、サービス復旧を待つかセカンダリリージョンへの切り替え等を判断する必要がある。データプロデューサ、データコンシューマともに接続先の切り替え、リソースの作成等にかかる時間と維持コストを考慮する。 | |
| 実 85 | 対象外（AWS クラウド側で対策済み） | - マルチリージョン/マルチアベイラビリティーゾーン構成の構築 - 高い可用性を備えている AWS マネージドサービスの利用 |
|
| 実 86 | 対象外（AWS クラウド側で対策済み） | - マルチリージョン/マルチアベイラビリティーゾーン構成の構築 - い可用性を備えている AWS マネージドサービスの利用 |
|
| 実 87 | 対象外（AWS クラウド側で対策済み） | - マルチリージョン/マルチアベイラビリティーゾーン構成の構築 - 高い可用性を備えている AWS マネージドサービスの利用 |
|
| 実 88 | 対象外（AWS クラウド側で対策済み） | - マルチリージョン/マルチアベイラビリティーゾーン構成の構築 - 高い可用性を備えている AWS マネージドサービスの利用 |
|
| 実 89 | - IAM によるアクセス制御 - KMS によるデータの暗号化 - TLS によるデータ転送時の暗号化 - AWS CloudTrail による証跡 - Amazon GuardDuty による不正アクセスの監視 - AWS SecurityHub によるアラートの集約とセキュリティチェック - AWS Control Tower ガードレールによるシステムの保護と統制の適用 |
- IAM によるアクセス制御 - IAM ロールの一時クレデンシャルを用いた各リソースへのアクセス - KMS による暗号化 |
|
| 実 90 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 91 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 92 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 93 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 94 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 95 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 96 | 対象外（開発プロセスでの対策） | 対象外（開発プロセスでの対策） | |
| 実 97 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | |
| 実 98 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 99 | デフォルトセキュリティグループの閉塞（自動） | 対象外（業務アプリケーションでの対策） | |
| 実 100 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 101 | 対象外（業務アプリケーションでの対策） | 実 46 と同じく Amazon CloudWatch 等を用いてコンピュートリソース、NW 帯域等を監視する。 | |
| 実 102 | 対象外（業務アプリケーションでの対策） | 実 46 と同じく Amazon CloudWatch 等を用いてコンピュートリソース、NW 帯域等を監視する。 | |
| 実 103 | 対象外（業務アプリケーションでの対策） | 実 46 と同じく Amazon CloudWatch 等を用いてコンピュートリソース、NW 帯域等を監視する。 | |
| 実 103 - 1 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | - 検証時の障害の再現には AWS Fault Injection Simulator の活用を検討 |
| 実 104 | 対象外（業務アプリケーションでの対策） | 実 71 と同じく、AZ 障害への耐性は有しているが、大規模な障害が発生した場合、サービス復旧を待つかセカンダリリージョンへの切り替え等を判断する必要がある。データプロデューサ、データコンシューマともに接続先の切り替え、リソースの作成等にかかる時間と維持コストを考慮する。 | |
| 実 105 | 対象外（業務アプリケーションでの対策） | 対象外(金融取引を行うサービスではないため) | |
| 実 106 | 対象外（AWS クラウド側で対策済み） | 実 71 と同じく、AZ 障害への耐性は有しているが、大規模な障害が発生した場合、サービス復旧を待つかセカンダリリージョンへの切り替え等を判断する必要がある。データプロデューサ、データコンシューマともに接続先の切り替え、リソースの作成等にかかる時間と維持コストを考慮する。 | |
| 実 107 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 108 | 対象外（管理・運用プロセスでの対策） | 対象外（管理・運用プロセスでの対策） | |
| 実 109 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | |
| 実 110 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | |
| 実 111 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | |
| 実 112 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | 実 8 と同じく、適切な通信先であることを確認するためにアプリケーション側で適切な認証を行う。認証情報の保護については実 1 を参照。 |
| 実 113 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | 実 8 と同じく、適切な通信先であることを確認するためにアプリケーション側で適切な認証を行う。認証情報の保護については実 1 を参照。 |
| 実 114 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | |
| 実 115 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | |
| 実 116 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | |
| 実 117 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | |
| 実 118 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 119 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 120 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 121 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 122 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 123 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 124 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 125 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 126 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 127 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 128 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 129 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 130 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 131 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 132 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 133 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 134 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 135 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 136 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 137 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 138 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 139 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 140 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | 実 1 と同じく、データプロバイダからのデータフィードサービスを受ける際の認証情報(自分の認証情報)を適切に管理する。例えば、データプロバイダごとにパスワードを変える、定期的にパスワードをローテーションする等。マーケットデータコンシューマの認証においては、認証画面で認証情報を非表示にする、パスワードポリシーを設定する、伝送データの暗号化(実 4)等を行う。 |
| 実 141 | 対象外（業務アプリケーションでの対策） | 対象外（業務アプリケーションでの対策） | 実 1 と同じく、データプロバイダからのデータフィードサービスを受ける際の認証情報(自分の認証情報)を適切に管理する。例えば、データプロバイダごとにパスワードを変える、定期的にパスワードをローテーションする等。マーケットデータコンシューマの認証においては、認証画面で認証情報を非表示にする、パスワードポリシーを設定する、伝送データの暗号化(実 4)等を行う。 |
| 実 142 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 143 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 144 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 145 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 146 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 147 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） | |
| 実 148 | 対象外（本リファレンスアーキテクチャの対象外） | 対象外（本リファレンスアーキテクチャの対象外） |