情報セキュリティ管理

ねらい

情報セキュリティを、担当者の頑張りではなく組織の仕組みとして回す方法を学びます。このレッスンを終えると、リスクの評価から方針づくり、体制、見直しまでの流れを説明できるようになります。

情報セキュリティマネジメントシステム

情報セキュリティ管理は、人ではなく仕組みで対策を続けるための取り組みです。詳しい社員1人が対策を担っている会社では、その人が異動したとたん、修正プログラムは適用されなくなり、パスワードの使い回しも誰も注意しなくなります。人に頼った対策は、その人がいなくなると消えます。

続けるには、誰がやるかを決め、書いて残し、定期的に見直す形が要ります。

組織的に情報セキュリティを管理する仕組みをISMS（情報セキュリティマネジメントシステム）といいます。計画・実施・点検・見直しを繰り返す形で運用します。

脅威も技術も変わり続けるので、一度作った対策は必ず古くなります。回し続けることが前提だと理解しておきましょう。

リスクを見積もる順序

対策を決める前に、何がどれだけ危ないのかを見ます。

1. リスク特定… どんなリスクがあるかを洗い出す。
2. リスク分析… 起こりやすさと、起きたときの影響の大きさを見積もる。
3. リスク評価… 分析の結果を基準と照らし、対応が必要かを判断する。
4. リスク対応… 回避・低減・移転・保有から選ぶ。

情報セキュリティポリシの3階層

情報セキュリティポリシは、組織としての方針を文書にしたものです。ふつう3階層で作ります。

上の階層ほど変わりにくく、下の階層ほど現場に合わせて更新されます。第1章で学んだ経営理念から経営計画への流れと、同じ形です。

事故に備える体制

• CSIRT… セキュリティ事故に対応する専門チーム。事故の検知から復旧、再発防止までを担います。
• SOC… システムを常時監視し、攻撃の兆候を見つける組織。
• インシデント… セキュリティ上の事故や、事故につながりかねない出来事。

事故はゼロにできません。起きることを前提に、誰が何をするかを決めておくのが体制づくりです。発見した人がためらわず報告できることが、初動の速さを決めます。責めるのではなく報告を促す文化が要ります。

事業継続の備え

災害や大規模障害があっても事業を続けるための計画をBCP（事業継続計画）といいます。これを運用する取り組みがBCM（事業継続管理）です。

考えるのは主に2つです。

• どこまで戻すか… どの時点のデータまで復旧できればよいか。
• いつまでに戻すか… どれだけの時間で再開すればよいか。

バックアップを取っているだけでは足りません。戻せるかどうかを試しておかないと、いざというときに使えないことがあります。

外部委託と第三者評価

業務を外部に委託しても、情報を守る責任は委託した側に残ります。委託先の管理体制を確かめ、契約で守るべきことを定めます。

第三者に評価してもらう仕組みもあります。ISMS適合性評価制度は情報セキュリティの管理体制を、プライバシーマークは個人情報の取扱いを評価し、基準を満たした組織に付与されます。

まとめ

情報セキュリティ管理は、人ではなく仕組みで続けるための取り組みです。リスクを見積もって優先順位を決め、方針を文書にし、体制を作り、定期的に見直します。事故が起きることを前提にした備えまでが、管理の範囲です。