情報セキュリティの管理

要点と定義

ISMS（情報セキュリティマネジメントシステム）は、組織の情報セキュリティを管理し、継続的に改善する仕組みです。構築では、まず適用範囲を定め、その範囲のリスクアセスメントを行い、リスク対応を決めて運用します。運用状況は内部監査などで確認します。対象範囲が決まると、評価する情報資産や活動を具体化できます。

情報セキュリティ方針には、ISMSを継続的に改善する意思を含めます。経営者は方針を検討し、予算や人材を割り当て、実施状況や問題を把握して対応するなど、対策を主導します。担当者やCISOに役割を任せても、経営者自身のリーダーシップは必要です。

情報セキュリティポリシーの策定では、担当者を決め、基本方針を策定し、情報資産を洗い出して分類したうえでリスクを分析します。資産を把握してから分析することで、何に関するリスクかを具体化できます。

ISMSの運用にはPDCAを使います。P（Plan）は目的や手順を定め、D（Do）は手順を実行し、C（Check）は実施状況を点検・評価し、A（Act）は評価を踏まえて改善します。たとえば、監視手順の決定はP、手順に沿った監視はD、第三者による作業内容の評価はC、評価後の監視方法の変更はAです。

リスクマネジメントでは、リスクを特定・分析・評価し、その結果に応じて対応します。リスク対応には、回避、共有（移転や分散）、低減、保有があります。これらは状況に応じて選ぶ方法で、全てを決まった順番で行う手順ではありません。

ISMSクラウドセキュリティ認証は、クラウドサービスに固有の管理策が実施されていることを認証する制度です。

CSIRTはセキュリティインシデントへの対応を担う組織です。事故が起きた際の影響範囲の調査や、被害拡大を防ぐ対策の実施支援が活動例です。

情報セキュリティ事象を適切な管理者へ速やかに報告できるよう、連絡経路と仕組みを事前に用意します。報告された事象は評価・調査し、インシデントに当たるかを判断します。対応手順をあらかじめ文書化し、発生後の対応内容も記録します。得られた教訓は管理策の見直しや強化に活用できます。

デジタルフォレンジックスは、コンピュータに関する犯罪や法的紛争などの調査で、電子的証拠を収集・保全して分析することです。取得経緯や改変の有無を説明できる状態で証拠を扱うことが重要です。