情報セキュリティの管理

要点と定義

ISMSは、組織が情報資産を管理し、保護に取り組むための仕組みです。認証から分かるのは組織の管理の取組であり、個別のシステムに脆弱性がないことや、暗号機能が適切に実装されていることまでは判断できません。

情報セキュリティ方針は、トップマネジメントが確立し、組織の目的や状況に合わせて定めます。適用範囲が全社なら、方針も全社に適用し、関係者に周知します。個々の端末設定などを並べた運用手順とは役割が異なります。

リスクマネジメントは、リスクの特定・分析・評価を行い、その後に対応を選ぶ流れです。分析では資産価値、脅威、脆弱性などを考慮します。対象は電子データだけでなく、紙の情報や関連資産にも及びます。分析方法や深さは、組織や業界の状況、リスクの大きさに合わせます。

リスク対応には、追加対策をせず損害を引き受ける受容、発生要因をなくす回避、可能性や影響を下げる低減、保険などで負担を移す移転があります。

ISMSの運用改善にはPDCAを用います。Plan（計画）で方針や手順を定め、Do（実行）で管理策を運用し、Check（評価）で効果を測定・評価し、Act（改善）で是正や改善を行います。定期作業の実施はDo、効果の確認はCheckです。

JVNは、ソフトウェアなどの脆弱性情報と対策を扱い、情報に識別子を付けて管理します。

BYODは、従業員が私物の情報端末を業務に使うことです。組織で利用を認める場合、端末や情報の取扱いを管理する観点が必要になります。

適用条件と例

たとえば、社内の共有フォルダーに機密資料がある場合、守る情報資産と、想定する脅威や弱点を整理・分析します。その結果を評価してから、対策費用や影響を考慮して対応を選びます。設定変更で発生可能性を下げるなら低減、該当業務をやめて発生要因をなくすなら回避、保険で損失負担を移すなら移転、追加対策をせず想定損害を引き受けるなら受容です。

運用手順に従ってサーバーのウイルス定義ファイルを定期更新する作業はDoです。更新後の状況や管理策の効果を測るのはCheck、見つかった問題を直すのはActに当たります。