情報セキュリティ管理

要点と定義

情報セキュリティ管理は、組織の情報資産を守る対策を包括的かつ継続的に実施するための管理である。情報資産の重要性やリスクを踏まえて管理策を選び、規程に基づいて運用する。情報セキュリティ管理策には、組織的・人的・物理的・技術的なものがある。特定個人情報の取扱状況を記録し、管理状況を把握できるようにすることは、組織的な管理策に当たる。

情報セキュリティ諸規程は、組織の情報セキュリティ目的や情報の分類・管理手順、対策基準などを体系的に定め、組織運営に反映する。ソーシャルメディアガイドラインでは、業務利用に加えて私的利用も対象にする場合がある。社員の発信が会社の信用や業務に影響する可能性があるためである。

リスク対応では、評価結果に応じて管理策を選ぶ。外部委託では委託先の安全管理を事前に確認し、必要な事項を契約に定める。

情報セキュリティ継続は、危機や災害時にも継続した情報セキュリティ運用を確実にするためのプロセスであり、事業継続マネジメントに組み込む。事業継続計画（BCP）は、事業の中断・阻害に対応して復旧・再開し、定めた水準に回復する手順などを定める。

適用条件と例

クラウドサービスを利用するときは、自社の情報セキュリティ方針・規則と、サービス側が提供する管理レベルとの適合性を確認する。

利用者アクセス権は、付与・変更・削除の手続を定め、妥当性を定期的に確認する。退職や異動に伴う権限変更・削除は、その都度適切に行い、不要な権限を残さない。

サイバーセキュリティ経営ガイドラインは、経営者が認識すべき原則と、対策の責任者となる担当幹部に経営者が指示すべき事項を示す。

誤りやすい点

安全管理策の分類では、教育は人的、媒体の持出し管理は物理的、不正アクセスへの技術的対策は技術的な管理策である。取扱状況の記録保存は組織的な管理策として整理する。

委託先の管理を契約終了時だけに行ったり、再委託の把握を委託先任せにしたりするのでは不十分である。委託前に必要事項を確認し、契約で管理事項を明確にする。