情報セキュリティ管理基準

1. 定義

情報セキュリティ管理基準は、組織が情報資産を守るために構築すべきセキュリティ対策の目標や項目を体系的にまとめたガイドラインです。組織がどのようなセキュリティ対策を講じるべきかの指針を示しており、組織のセキュリティポリシーを策定する際のひな形として活用されます。

この基準は、経済産業省が策定したもので、組織が情報セキュリティを維持・改善するために必要な管理策を網羅しています。経営者から現場の担当者まで、セキュリティレベルを一定の水準に保つための共通言語として機能し、組織的なセキュリティ管理の土台となるものです。

2. 仕組みと種類

情報セキュリティ管理基準には、組織が管理すべきリスク項目と、それに対する具体的な管理策が含まれます。これらは技術的な対策だけでなく、物理的な対策や人的な管理策も含めた多層的なアプローチで構成されており、組織の情報資産を脅威から守るための総合的な枠組みを提供します。

また、この基準は国際規格であるISO/IEC 27002と整合性を取って作成されています。組織内の情報セキュリティマネジメントシステム（ISMS）を構築する際、ISMSの認証基準となるISO/IEC 27001と併せて参照することで、より具体的で実効性の高いセキュリティ体制を構築することが可能です。

3. 試験ごとの視点

ITパスポート試験では、組織のセキュリティ管理の全体像を把握するための指針として出題されます。セキュリティポリシーの策定から運用に至るプロセスの中で、この管理基準がどのように活用されるか、経営陣の関与と現場の遵守のバランスを問う問題が見られます。

基本情報技術者試験では、より具体的な管理策の内容や、ISMSとの対応関係が問われます。例えば、物理的セキュリティ、人的セキュリティ、技術的セキュリティの各区分において、どのような管理策が求められるのか、リスク評価の結果に基づいて対策を選定するプロセスが重視されます。

4. 紛らわしい語との違い

紛らわしい語として、ISMSの認証基準であるISO/IEC 27001があります。情報セキュリティ管理基準がセキュリティ対策の具体的な項目やガイドラインであるのに対し、ISO/IEC 27001は組織の管理体制が基準を満たしているかを認定するための認証規格です。両者は相互に関連していますが、目的が異なります。

また、セキュリティポリシーとも混同されやすいです。セキュリティポリシーは組織が独自に定める方針や手順そのものですが、情報セキュリティ管理基準は、そのポリシーを作る際に参考にするための汎用的な標準です。ポリシーは組織独自のルールであり、管理基準は外部の標準的な規範です。

5. 身近な例

具体的な活用例として、社内のセキュリティポリシーを改定する際、この管理基準をチェックリストとして利用するケースがあります。例えば「パスワード管理」の項目について、基準を参照して強度や変更頻度のルールを自社向けに具体化することで、抜け漏れのない規定を作ることができます。

また、テレワーク導入時に必要なセキュリティ対策を検討する際も、この基準のガイドラインが役立ちます。端末の持ち出し制限、通信の暗号化、アクセス権限の管理など、基準に示された項目を一つずつ確認することで、テレワーク環境におけるセキュリティリスクを網羅的に洗い出すことが可能です。