情報セキュリティの管理

要点と定義

ISMS（情報セキュリティマネジメントシステム）は、組織が情報セキュリティを管理し、継続的に改善するための仕組みです。最上位の情報セキュリティポリシは、経営陣の姿勢や組織の基本方針を示します。細かな手順は下位の規程・手順書、個々の情報資産は台帳などで扱います。方針に記す内容と、詳細な手順や資産情報を区別する判断に必要です。

ISMSを確立するときは、まず組織の状況と利害関係者のニーズ・期待を理解します。その内容を踏まえてリスクを評価し、対応を進めます。内部監査は、ISMSの確立・運用後に適合性や有効性を確認する活動です。活動の順序や内部監査の位置づけを判断する手掛かりになります。

リスクアセスメントは、リスク特定、リスク分析、リスク評価の順です。特定ではリスクを洗い出し、分析では可能性や影響などを調べ、評価では基準に照らして判断します。リスク対応は、アセスメントの結果を受けて選びます。この順序が、各段階の役割を見分ける判断に必要です。

リスク対応には、回避、共有（移転・分散）、保有、低減があります。リスクの原因となる活動をやめるのは回避、保険などで負担を移すのは移転、追加対策をせず受け入れるのは保有、発生可能性や影響を小さくするのは低減です。対応の内容から分類する判断に必要です。

PDCAは、計画（Plan）、実行（Do）、確認・評価（Check）、改善（Act）の循環です。運用状況や結果を監査・評価するのはCheck、確認結果から不備への改善策を決めるのはActです。実際に何をしているかから段階を判断するために必要です。

適用条件と例

例えば、催しで扱う情報のリスクを評価し、追加対策をせず受け入れるならリスク保有です。退社時に机上の書類を片付けるクリアデスクは、書類から漏えいする可能性を下げる低減策です。対策を追加せず受け入れるのか、可能性や影響を小さくするのかが区別の手掛かりです。

人的資源に関する管理策には、採用時の確認、違反時の懲戒手続、退職後も有効な責任の周知などがあります。業務を委託する場合も、業務やリスクに応じた情報セキュリティ上の要求を委託先に適用します。自社従業員だけでなく委託先にも要求する点が判断に必要です。