情報セキュリティ管理

要点と定義

情報セキュリティマネジメントシステム（ISMS）は、組織の情報セキュリティを管理する仕組みです。機密性・完全性・可用性をバランスよく維持・改善し、リスクを適切に管理します。

情報セキュリティ方針は、情報セキュリティに関する組織の意図を示し、取組の方向を定めます。方針を具体化する対策基準には守るべきルールを、実施手順には担当者が実行する具体的な方法を記します。

ISMSの運用にはPDCAを用います。Planで計画を立て、Doで実行し、Checkで状況や結果を確認・評価し、Actで是正・改善します。定めた手順に沿って毎日ソフトウェア更新の有無を調べるのはDo、監査結果を受けて監視方法を変更するのはActの例です。

リスクアセスメントは、リスクの特定・分析・評価の三つのプロセスです。特定ではリスクを洗い出し、分析では性質や大きさを把握し、評価では分析結果を基準と比べて優先順位や対応の要否を判断します。

リスク値を「資産価値×脅威×脆弱性」で求める条件が示されたら、その式を使います。重み付けせずに四資産を比べる場合、Aは5×2×3＝30、Bは6×1×2＝12、Cは2×2×5＝20、Dは1×5×3＝15です。最大の30となるAを最優先で対応する資産と評価します。

保護レベルによる情報管理では、組織の基準でレベルを決め、レベルごとに取扱い手順を定めます。情報の内容や状況が変わればレベルを見直し、紙の文書も含めて管理します。

セキュリティ事故への対応を目的とする組織はCSIRTです。ISMSは組織の管理の仕組みを指し、事故対応組織の名称ではありません。

適用条件と例

リスクアセスメントの各プロセスは、作業内容で見分けます。情報資産に関するリスクを洗い出すのは特定、影響の大きさを見積もるのは分析、見積もりを基準に照らして優先順位を付けるのは評価です。対応の実施や回避・低減・移転は、アセスメントの三プロセスとは別のリスク対応です。

リスク値の掛け算は、問題で式と条件が示された場合にその条件に従って行います。重み付けしない指定なら、各資産について三つの値をそのまま掛け、同じ方法で得た値を比較して最大の資産を選びます。例えば、値が4・3・2の資産は4×3×2＝24です。この計算例や優先順位は、示された式と評価値を使う場合の判断です。