情報セキュリティ管理

要点と定義

情報セキュリティ管理は、情報資産を特定し、重要性やリスクに応じた対策を継続して運用することです。データ、文書、情報システムなどを調査して保護対象を特定し、定められた基準に基づいて重要性を分類します。

リスクアセスメントでは、リスクを特定し、生じやすさと発生時の結果を定性的または定量的に把握してリスクレベルを決めます。評価に使うリスク基準は先に定めます。基準があれば、評価結果を同じ尺度で判断できます。過去の出題で扱った補足として、2014年版の規格を前提にした設問でも、リスク受容基準を評価後に決める順序が指摘事項として扱われました。

評価後は、結果を踏まえてリスク対応の選択肢を選び、実施に必要な管理策を決めます。対策後に残るリスクも把握し、必要な対応を検討します。これはリスクアセスメントとリスク対応を一度で終わらせず、管理の中で扱うためです。

ISMSは、組織の情報セキュリティ管理を運用し、評価し、改善する仕組みです。管理策タイプの「予防・検知・是正」と、サイバーセキュリティ概念の五つの属性「識別・防御・検知・対応・復旧」は、異なる分類です。過去の出題で扱った補足として、五つの属性を問う問題では、この五語を過不足なく区別することが判断に必要でした。

情報セキュリティ方針や組織内規程は、目的、役割、資産の分類や管理手順をそろえる基盤です。過去の出題で扱った補足として、サイバーセキュリティ経営ガイドラインは、経営者が認識する三原則と、対策を担う幹部への重要十項目を示すものとして問われました。ISMSの要求事項やITガバナンスの枠組みとは、目的や構成を区別します。

情報セキュリティ組織・機関は、対象と役割で見分けます。過去の出題で扱った補足として、J-CSIPはサイバー攻撃情報を公的機関に集約・共有して対策につなげる取組であり、PSIRTは自社製品の脆弱性に対応する社内機能です。設問の対象が攻撃情報の共有か、製品の脆弱性対応かを確認することが識別に必要です。

適用条件と例

新しい業務システムを導入する例では、まず扱うデータやシステムを情報資産として特定します。次に、機密性・完全性・可用性への影響を整理して重要性を分類し、脅威と影響からリスクを評価します。評価結果に応じて対応を選び、必要な管理策を決めます。分類や評価には、組織が定めた基準を用います。

ソフトウェアの構成部品や依存関係を記録するSBOMは、構成情報を脆弱性情報と照合し、脆弱性管理に役立てられます。部品を把握する情報なので、利用者アカウントの一元管理、ソースコードのアクセス制御、バックアップそのものを担うわけではありません。過去の出題で扱った補足です。

外部委託やクラウドサービスの利用では、責任分担や情報資産の保護方法を確認します。保存情報の消失を考える場合、サービス提供者やサービスが継続して提供される見込みも確認点になります。停止許容時間や通信の暗号化だけでは、保存情報を継続して保持できるかまでは判断できません。過去の出題で扱った補足です。

アプリケーションの機能を通さず特権IDでデータを修正する運用では、依頼、承認、実施の記録と特権IDの管理を整え、作業を追跡できるようにします。例えば、直接修正の記録を通常処理のログに見せかけると、実際の修正経路が分かりにくくなります。過去の出題で扱った補足です。