情報セキュリティの管理

要点と定義

情報セキュリティ方針は、組織が情報セキュリティについて示す意図や取組の方向です。事業内容、組織の特性、保有する情報資産に応じて策定し、状況の変化に合わせて見直します。基本方針は組織の基本的な考え方を示し、対策基準は守るルール、実施手順は現場での具体的な方法を定めます。三つの文書は役割が異なります。

リスクマネジメントは、リスクの特定・分析・評価・対応の流れで進めます。リスクアセスメントは、リスク特定、リスク分析、リスク評価の三つです。特定ではリスクとなる要因を洗い出し、分析では発生可能性や影響などからリスクレベルを決めます。評価ではそのレベルを受容基準と比べ、受け入れられるかを判断します。対応の優先順位付けもアセスメントに含まれますが、具体的にどう対応するかを決めるのは、その後のリスク対応です。

リスク対応には、回避、低減、共有（移転・分散）、保有があります。回避はリスクを伴う活動をやめること、低減は発生可能性や影響を小さくすること、共有は保険などを使って損失負担を他者と分けること、保有はリスクを認識して受け入れることです。たとえば、追加対策をせずにリスクを受け入れるのは保有です。

ISMSは情報セキュリティを管理する仕組みです。継続的改善ではPDCAの考え方が使われます。内部監査などでISMSの要求事項への適合や運用の有効性を確かめる活動はパフォーマンス評価に当たります。不適合への是正処置は改善に位置付けられます。運用状況や対策の効果を調べる活動はPDCAのCheck（確認）です。

適用条件と例

顧客情報を扱う小規模組織なら、まず情報資産や脅威、弱点などのリスク要因を特定します。次に、たとえば発生可能性と影響を段階評価してリスクレベルを決め、組織が定めた受容基準と比べます。基準を超えたリスクに優先順位を付けた後、対応を選びます。対象範囲やリスクの性質に応じて分析方法を選ぶため、全資産に同じ技法を使う必要はありません。

対応の区別は、何を変えるかで考えます。危険な業務を中止するなら回避、アクセス制御を加えて被害を抑えるなら低減、保険などで損失負担を分けるなら共有、追加対策をしない判断なら保有です。保険は事故の発生自体を防ぐ対策ではありません。