情報セキュリティ管理

要点と定義

情報セキュリティ管理は、組織の情報資産を特定し、リスクに応じた対策を選び、運用状況を確かめて見直す継続的な取り組みです。情報資産には情報システムだけでなく、データや文書も含まれます。資産を守るための方針や責任、手順を組織として定め、利用者や委託先も含めて実行できる状態にします。

情報セキュリティリスクアセスメントでは、まず資産や脅威などからリスクを特定し、次に起こりやすさと起きた場合の結果を分析します。その組合せからリスクレベルを決め、組織があらかじめ定めたリスク基準に照らして評価します。リスクレベルはリスクの大きさを表すもので、結果と発生可能性の組合せとして扱います。優先順位や評価基準そのものとは区別します。

分析は数値で行う定量的な方法と、段階評価などを使う定性的な方法があります。例えば、発生可能性を「低・中・高」、影響を「小・中・大」で評価し、表に配置してリスクレベルを比較できます。評価の高低は、組織が定めたリスク受容基準と照らして判断します。基準がなければ「高リスクだから受け入れ不可」と一律には断定できません。

リスク対応には、リスクを避ける、発生可能性や影響を抑える、他者と共有・移転する、残るリスクを保有するなどの選択肢があります。リスクコントロールは、予防策や被害を小さくする対策によってリスクを低減する対応です。リスクファイナンシングは、損失が生じたときの資金を手当てする考え方で、保険による補填が例です。対策を実施しても残る残留リスクを把握し、対応計画やリスク登録簿に記録して関係者と共有します。

情報セキュリティ継続は、危機や災害など困難な状況でも、情報セキュリティを保ちながら業務を継続・復旧できるようにする取り組みです。事業継続の計画では、自然災害だけでなく、機器故障やマルウェア感染などの中断要因も検討します。復旧の優先順位は、技術的に復旧しやすいかだけでなく、業務への影響や重要性を踏まえて定めます。計画は関係者に周知し、自組織の外の関係者との連携も考慮します。

バックアップは取得するだけでなく、実際に復旧できるかを試験し、媒体と本番システムが同じ災害で同時に失われない保管方法を考えます。例えば、本番サーバの近くにだけ媒体を置くと、同じ火災や浸水で両方が被害を受ける可能性があります。地理的に離れた場所への保管はそのリスクを下げます。委託先との機密保持契約は情報管理に役立ちますが、それだけでは保管場所が災害時に独立しているかまでは分かりません。

情報セキュリティポリシーや関連規程は、組織の目的、情報資産の分類、管理手順、利用者の責任、例外や事故時の対応などを体系的に定めます。テレワークなど新しい利用形態では、利用条件や端末の管理、マルウェア対策を組織のルールとして定め、個人任せにしないことが重要です。例えば、対策ソフトを使うかどうかを各従業員の判断だけに委ねると、組織全体で必要な水準を管理できません。

ログ管理も規程と運用で支えます。必要な操作ログを取得し、時刻やアカウントなどの記録項目、保存期間、改ざん防止、アクセスできる担当者を定めます。クラウドサービスから出力したログを社内サーバに保管する場合も、一般利用者が編集できる領域ではなく、権限を限定した保管場所を用意します。担当者を複数名にするなど、担当者不在時も運用できる体制を整えます。例えば、一般利用者全員が編集できる共有領域にログを置けば、担当者だけにアクセスを制限する要件を満たせません。

セキュリティ組織には役割の違いがあります。CSIRTは発生したセキュリティインシデントへの対応を担う組織です。SOCは監視やログ分析などのセキュリティ運用を担います。役割を区別すると、検知後の対応を誰が行うかを明確にできます。

適用条件と例

対応策は、リスクの原因と、対策によって変えたいものを見て選びます。発生の可能性を下げる施錠やアクセス制御、発生後の影響を抑える冗長化設備はリスクコントロールの例です。事業そのものを停止してリスクをなくす判断はリスク回避に当たり、保険の契約は損失を資金面で補うリスクファイナンシングに当たります。保険だけで事故の発生可能性が下がるわけではないため、必要なら予防策も組み合わせます。