情報セキュリティ管理

要点と定義

情報セキュリティ管理は、組織の情報資産を特定し、リスクに応じた対策を継続して運用・改善する考え方です。情報資産にはデータや文書だけでなく、それらを扱う情報システムも含まれます。対策は個々の端末だけで完結せず、組織の規程、役割分担、教育、監視、インシデント対応まで含めて考えます。

リスクアセスメントは、リスクを特定し、起こりやすさと発生時の結果を分析し、定めた基準に照らして評価する一連のプロセスです。順序は「リスク特定→リスク分析→リスク評価」です。評価には、発生頻度や損失額などを用いる定量的な方法と、段階評価などを用いる定性的な方法があります。リスク受容基準などのリスク基準は、評価結果を判断する前提となるため、アセスメントを始める前に定めます。評価の後に、回避・低減・共有・保有などのリスク対応を選び、必要な管理策を実施します。対応後にも残るものは残留リスクです。

事業継続計画（BCP）は、災害などの困難な状況でも重要な業務を継続・復旧するための計画です。緊急連絡先を作成して最新に保ち、業務の重要度に応じて復旧の優先順位を決め、関係者が役割と手順を把握できるようにします。重要な文書やデータは、単一の保管場所の被災で失われないよう、複製や分散保管を検討します。情報セキュリティ継続は、こうした事業継続の仕組みに組み込み、緊急時にも必要なセキュリティ運用を続けることです。

BYODは、従業員が個人所有の情報端末を業務に使うことです。会社の管理が及びにくい端末では、設定不備やマルウェア感染、情報漏えいなどのリスクが生じ得ます。利用を認める場合は、組織の規程に基づき、アクセス範囲や端末管理などの管理策を定めます。

CSIRTは、組織内などで情報セキュリティインシデントの報告を受け付け、調査し、対応する組織の総称です。対応体制の構築・運用を支援する資料として、CSIRTマテリアルがあります。インシデント対応では、受付後の調査や関係者との連携、再発防止につなげる活動が重要です。

サプライチェーンを通じたリスクを考えるときは、自社の対策だけでなく、取引や業務を支えるビジネスパートナの対策状況も確認対象になります。外部委託やクラウドサービスの利用では、責任分担や情報の取り扱いを明確にし、委託先任せにしない管理が必要です。

セキュリティバイデザインは、システムの企画・設計段階からセキュリティを考慮し、確保する考え方です。開発後の診断や監査で問題を見つけるだけでなく、要件や設計に対策を織り込み、運用まで見通してリスクを抑えます。

適用条件と例

例えば、社内システムの停止リスクを評価するなら、まず対象となるシステムやデータを洗い出します。次に、停電や不正アクセスなどの脅威と、発生時の業務影響を分析します。あらかじめ定めた基準に照らして優先度を評価し、許容できないリスクには冗長化やバックアップなどの対策を選びます。基準を後から都合よく決めると、評価結果の比較や判断が一貫しません。

定量分析の単純な例として、年間発生頻度を0.2回、1回当たりの損失を100万円と見積もると、年間予想損失額は0.2×100万円＝20万円です。これは見積りの前提に依存する値です。発生頻度や損失額を数値化しにくい場合は、「低・中・高」のような定性的評価を使い、評価尺度を組織内でそろえます。

緊急時の連絡網は、担当者の変更や連絡先の更新を反映して初めて役に立ちます。例えば、重要業務を先に復旧する計画を立て、必要な担当者、代替手段、復旧手順を周知します。バックアップがあっても、保管場所が被災したり復元手順が使えなかったりすれば復旧できません。複製の保管場所と復元確認も計画に含めます。

BYODの例では、私物スマートフォンから業務メールを閲覧できるようにする場合、認める端末、認証、保存できる情報、紛失時の連絡・対処を規程で決めます。これらは一例であり、具体策は情報の重要度や業務条件に合わせます。単に「業務に使う端末」と見ると、会社貸与端末の移動中利用や私物端末の私的利用とBYODを混同します。判断の要点は「個人所有の端末を業務に使う」ことです。