情報セキュリティの管理

要点と定義

情報セキュリティマネジメントシステム（ISMS）は、組織が情報セキュリティを継続的に管理する仕組みです。ISMSは個人情報だけでなく、組織が扱う情報全般を対象にします。認証制度では、組織の仕組みが認証基準に適合しているかを特定の第三者機関が審査します。

組織の情報資産を守る基本的な考え方や取組み方を示す公式文書が、情報セキュリティ方針です。トップマネジメントの考え方や組織の方向性を示し、具体的な対策基準や実施手順の土台になります。

方針は、適用される従業員や関連する外部関係者に周知します。一部の部署や経営者、管理者だけに伝えても、方針を実行する人々に十分伝わりません。

ISMSの管理では、計画・運用・パフォーマンス評価・改善を続けます。内部監査は、定めた要求や組織のルールに適合し、有効に運用されているかを評価する活動です。リスク対応の決定やリスクアセスメントは計画段階に位置します。

リスクマネジメントは、リスク特定、リスク分析、リスク評価、リスク対応の順に進めます。リスク特定では、ISMSの適用範囲内にある情報について、機密性・完全性・可用性が失われるリスクを洗い出します。リスク分析では発生可能性や影響を見積もり、評価では受容基準などと照らして対応の要否を決めます。対応では、対処方法を選び管理策を計画します。

リスク対応には、主に次の方法があります。

• 低減：対策で発生可能性や影響を小さくする。例えば、多要素認証を導入して不正ログインの可能性を下げる。
• 移転：保険などにより、損失負担の一部を他者に移す。保険加入はリスク自体をなくすことではありません。
• 受容：リスクを把握したうえで、追加対策を行わず、発生時の損害を引き受ける。例えば、小規模な障害の復旧費を予算内で負担すると決める場合です。
• 回避：リスクの原因となる活動をやめ、そのリスクを避ける。

適用条件と例

リスク対応の種類は、何をしたかで判定します。例えば、あるサービスの年間損失額を「発生確率0.1 × 損害額100万円＝期待損失10万円」と見積もったとします。この値は判断材料の一例であり、組織の受容基準や影響の内容も考慮して対応を選びます。対策で発生可能性を下げるなら低減、保険で損失負担を移すなら移転、対策を追加せず損害を引き受けるなら受容、サービスを停止するなら回避です。

対象範囲の外にある情報を、そのISMSのリスク特定対象として扱うとは限りません。まず適用範囲を確認し、その中の情報について機密性・完全性・可用性の喪失に伴うリスクを考えます。完全性は、情報が正確で、改ざんや欠落がない状態に関わります。

セキュリティ事故への備えでは、対応する組織や連絡経路も整えます。CSIRTは、事故発生時に対応し、被害の拡大防止や復旧を進める組織です。利用者が感染を強く疑う端末を使っている場合は、まずネットワークから切り離して管理者に連絡し、組織の手順に従います。