情報セキュリティ管理

要点と定義

情報セキュリティ管理は、組織の情報資産を特定し、重要性やリスクに応じた対策を継続して実施する考え方です。資産の重要性は機密性・完全性・可用性の観点から分類します。リスクアセスメントでは、リスクを特定し、生じやすさと生じた場合の結果を定性的または定量的に把握してリスクレベルを決め、組織のリスク受容基準に照らして評価します。リスク対応は評価後に選択し、実施に必要な管理策を定めます。

リスク特定・分析・評価はアセスメントの段階です。対応策の選定とは区別し、組織の基準に基づいて判断します。

情報セキュリティポリシーを含む組織内規程は、情報セキュリティの目的、資産の分類や管理手順、対策基準などを体系的に定め、組織運営に反映します。ISMSは、組織の情報セキュリティ管理の水準を高め、維持し、改善する仕組みです。

過去の出題で扱った補足として、サイバーセキュリティ経営ガイドラインは、経営者が認識すべき原則と担当幹部への指示事項を示すものとして問われました。

情報セキュリティ管理には、施設や入退室の管理も含まれます。共通の暗証番号だけでは、入室者を個人別に識別し、記録と本人を結び付けて追跡することが難しくなります。

情報セキュリティ組織・機関は、対象と役割で区別します。CSIRTはコンピュータセキュリティインシデントへの対応を行う組織です。J-CRATは、標的型攻撃を受けた組織などからの情報を分析し、被害の把握や対策への早期着手を支援します。

過去の出題で扱った補足として、サイバー・フィジカル・セキュリティ対策フレームワークは、新たな産業社会の活動に伴うリスクを捉え、必要な対策の全体像を整理する目的が問われました。

過去の出題で扱った補足として、NISTサイバーセキュリティフレームワークの機能とカテゴリの対応では、「識別」と「リスクアセスメント」の組合せが問われました。同じ出題で、データセキュリティは「防御」、継続的モニタリングは「検知」、分析は「対応」に属することも、選択肢を見分ける手掛かりでした。

情報セキュリティ継続は、危機や災害時にも情報セキュリティの運用を続けるための考え方です。事業継続の仕組みに組み込んで備えます。過去の出題で扱った補足として、BCPは事業の中断・阻害に対応し、復旧・再開して定められた水準に回復する手順を文書化するものとして問われました。

組織・機関の設置先や役割を問う問題では、名称の印象ではなく、設問に示された設置先や役割と照合します。過去の出題では、当時、内閣官房に設置されていた機関を識別する問題がありました。これは出題時点の情報であり、現在の制度についてはここから断定しません。

適用条件と例

例えば、顧客データを扱う業務では、データや関連システムを資産として特定し、漏えい・改ざん・停止が起きた場合の結果を見積もります。生じやすさと結果からリスクレベルを決め、組織の受容基準に照らして優先度を評価します。その後、回避・低減・共有・保有などの対応を選び、必要な管理策を決定します。対策後に残るリスクは、対応計画やリスク登録簿で扱います。

来訪者が執務室に入る場合は、打合せ場所を機密情報から離し、荷物の受渡しを情報処理区画に立ち入らずに済む場所で行うなど、不要な接触機会を減らせます。入退室管理では、許可者かどうかだけでなく、誰が入ったかを記録から確認できるかも点検します。

インシデント管理では、検知・連絡受付、トリアージ、対応、報告・情報公開などの流れを定めます。CSIRTはインシデント対応を行い、J-CRATは標的型攻撃の被害組織などを支援して攻撃や被害を分析します。対象と支援の形を手掛かりに区別できます。