情報セキュリティ管理

ねらい

技術だけでなく組織として情報を守る方法を学びます。このレッスンを終えると、リスクアセスメントの手順、リスク対応の選択肢、情報セキュリティポリシーの体系、ISMSの仕組み、セキュリティ組織・機関の役割を説明できるようになります。

情報セキュリティ管理の考え方

組織の対策は、場当たりではなく、情報セキュリティポリシーに基づく情報の管理として包括的かつ継続的に行います。守る対象である情報資産を洗い出し、リスクマネジメント（JIS Q 31000）の考え方で危険に向き合います。アカウント管理と利用者アクセス権の管理では、業務に必要な人に必要な範囲だけを与えるneed-to-know（最小権限）の原則が基本です。クラウドサービスの利用では、事業者と利用者のどちらが何を守るかを定めた責任共有モデルを理解し、外部委託先も含めた管理が求められます。

リスク分析と評価

リスクアセスメント

リスクへの向き合い方は、手順を踏んで進めます。

1. 情報資産の調査で、情報システム、データ、文書などを特定し、情報資産台帳に整理します。
2. 機密性・完全性・可用性の観点から重要性を検討し、基準に基づいて分類します。
3. リスクアセスメントとして、リスク特定、リスク分析、リスク評価を行います。起こりやすさと影響の大きさからリスクレベルを決め、リスクマトリックスなどで見える化し、組織のリスク受容基準と照らします。分析には数値で測る定量的分析と、大中小などで測る定性的分析があります。

リスクの種類には、財産損失や責任損失のほか、業務運営に潜むオペレーショナルリスク、取引網を経由するサプライチェーンリスク、外部サービス利用のリスク、SNSによる情報発信のリスク、国際情勢に起因する地政学的リスクなどがあります。損失の原因となる事故をペリル、それを生みやすくする環境をハザード、保険があることで注意を怠るような心理をモラルハザードといいます。

リスク対応の選択肢

評価したリスクには、次の選択肢から対応を選びます。

資金面の手当てはリスクファイナンシング、備えの工夫はリスクヘッジと呼ばれます。対応してもなお残る危険を残留リスクといい、リスク対応計画やリスク登録簿に記録し、関係者と共有するリスクコミュニケーションを続けます。それぞれのリスクには管理の責任者であるリスク所有者を定めます。

情報セキュリティ継続と諸規程

危機や災害に備えて、情報セキュリティの運用を続けるためのプロセスを事業継続の仕組みに組み込みます。緊急事態の区分を定め、緊急時対応計画（コンティンジェンシー計画）と復旧計画を用意し、バックアップによる対策と被害状況の調査手法を整えます。

組織の規程は体系的に定めます。最上位の情報セキュリティ方針のもとに、情報セキュリティ対策基準、情報管理規程や文書管理規程、マルウェア感染時の対応を含む情報セキュリティインシデント対応規程、教育の規程、プライバシーポリシー（個人情報保護方針）、SNS利用ポリシーなどを整備し、承認手続と更新の規程で保ちます。

ISMS：管理を回し続ける仕組み

情報セキュリティ管理の水準を高め、維持し、改善していく仕組みがISMS（情報セキュリティマネジメントシステム）で、要求事項はJIS Q 27001（ISO/IEC 27001）が、管理策の実践の規範はJIS Q 27002が定めています。適用範囲を定め、経営陣のリーダーシップのもとで、計画、運用、パフォーマンス評価、改善という流れを回します。第三者が適合を認証するISMS適合性評価制度（ISMS認証）もあります。

管理策は、組織的管理策、人的管理策、物理的管理策、技術的管理策の4つに分類され、働き方では予防、検知、是正という管理策タイプに分かれます。サイバーセキュリティ概念としては、識別、防御、検知、対応、復旧という5つの機能で対策を整理します。

情報セキュリティの組織・機関

組織の中には、方針を審議する情報セキュリティ委員会のほか、インシデント対応の専門チームであるCSIRTと、監視を専門に行うSOC（Security Operation Center）を置きます。防御側の立場で侵入テストなどを行う技術者はエシカルハッカーと呼ばれます。

国の機関としては、サイバーセキュリティ戦略本部と内閣サイバーセキュリティセンター（NISC）があり、IPAセキュリティセンターは届出制度や啓発を担います。JPCERTコーディネーションセンターはインシデント情報の調整を行い、JVNは脆弱性情報を公表します。標的型攻撃の情報を共有するJ-CSIP、業界ごとの情報共有組織であるISAC、政府のクラウド評価制度ISMAP、中小企業向けのSECURITY ACTIONといった枠組みも押さえておきましょう。基準・指針には、サイバーセキュリティ経営ガイドライン、IoTセキュリティガイドライン、クレジットカード業界のPCI DSS、サイバーセキュリティフレームワーク（CSF）などがあります。

例題

次の問いに答えてください。

問1 サイバー保険に加入して、損失の一部を保険会社に引き受けてもらうリスク対応は何ですか。

問2 組織内でセキュリティインシデントへの対応を専門に行うチームを何といいますか。

解答と解説

問1の答えはリスク共有（リスク移転）です。リスクそのものは消えませんが、影響を他者と分かち合います。

問2の答えはCSIRTです。監視を専門とするSOCとの分担で、検知から対応までの体制を作ります。

応用

本試験を意識した問題を解いてみましょう。

問 リスク対応のうち、リスクの原因となる業務や活動そのものを取りやめる対応はどれでしょうか。次の中から選んでください。

1. リスク回避
2. リスク共有
3. リスク保有
4. リスクファイナンシング

解答と解説

答えは1のリスク回避です。たとえば「危険の大きい個人情報の収集をやめる」のように、リスクを生む活動自体を行わないことでリスクをなくします。2のリスク共有は、保険や外部委託によってリスクを他者と分かち合う対応で、活動は続けます。3のリスク保有は、影響が小さいと判断したリスクを受け入れて活動を続ける対応です。4のリスクファイナンシングは、損失に備えて資金面の手当てをしておく考え方であり、活動を取りやめる対応ではありません。