情報セキュリティポリシーとISMS

要点と定義

情報セキュリティポリシーは、組織が情報を守るために定める方針や基準、具体的な手順です。基本方針を上位に置き、それに基づいて対策基準と実施手順を整えます。組織の規模が小さい場合は、対策基準と実施手順をまとめ、基本方針と合わせた二階層にできます。文書は基本方針から具体化するのが基本です。

クラウドサービスの情報セキュリティ管理策は、サービスを利用する事業者と提供する事業者の双方に、それぞれの立場に応じて適用できます。両方の立場を持つ場合は、双方の観点を考慮します。

ISMSの適用宣言書は、リスク対応に必要な管理策を決め、規格の附属書にある管理策と比較した後に作成します。必要な管理策とその理由、実施状況、適用しない管理策とその理由などを記録します。リスク対応の選択肢の選定やリスクアセスメントが先行します。ここで説明する順序は、出題の根拠となったJIS Q 27001:2014に基づきます。

情報セキュリティガバナンスとITガバナンスは対象が異なりますが、範囲が重なる場合があります。一方が常に他方に含まれるとは限りません。

マネジメントレビューでは、前回までのレビュー結果とそれに対する処置、内部監査の結果、不適合と是正処置の状況などを考慮します。情報セキュリティ目的について確認するのは、目的そのものではなく達成状況です。この説明は出題根拠のJIS Q 27001:2014に基づきます。

情報セキュリティ目的を達成する計画では、実施事項、必要な資源、責任者、達成期限、結果の評価方法を決めます。計画が実行できるか、成果をどう確かめるかを併せて明確にします。出題根拠はJIS Q 27001:2014です。

不適合への「修正」は、見つかった不適合そのものを除去する処置です。「是正処置」は、その原因を取り除いて再発を防ぐ処置です。原因の除去と再発防止まで含むかどうかで区別します。用語の説明は出題根拠のJIS Q 27000:2019に基づきます。

政府機関等の情報セキュリティ対策のための統一基準（平成30年度版）は、機密性・完全性・可用性の各観点から情報の格付区分を定めていました。これは出題時点の版について確認できる内容であり、現行の制度や基準の内容を示すものではありません。

適用条件と例

たとえば、少人数の事業所では、基本方針を組織共通の文書とし、対策基準と作業手順を一つの文書にまとめられます。部門ごとに違いがある場合も、まず共通の方針を定め、必要な手順をその方針に沿って具体化します。

クラウドサービスを自社の業務で使うだけなら利用者の観点を、顧客へサービスを提供するなら提供者の観点を考慮します。利用と提供を兼ねる事業者では両方を確認します。

たとえば、リスク対応で必要な管理策を選んだ後、附属書の管理策一覧と照合し、適用するものと除外するものを理由とともに記録します。対応計画の承認を待ってから適用宣言書を作る、という順序ではありません。

情報セキュリティガバナンスは情報の機密性・完全性・可用性に関わり、ITガバナンスは情報の取得や処理、保管、配布に必要な資源に関わります。ITを使う情報の保護を検討すると、双方の範囲が交わることがあります。