ウイルス対策ソフトを入れて、パスワードを強くすれば、セキュリティは完璧ですよね？
それは「道具」の話だね。会社全体で情報を守るには、ルールを決めて、守れているか確かめて、直していく仕組みが必要なんだ。それがISMSだよ。
情報セキュリティの3要素（CIA）
まず「情報を守る」とは何を守ることなのかを確認しましょう。情報セキュリティは、次の3つの性質を保つことと定義されています。頭文字をとって CIA と呼ばれます。
- 顧客名簿が外部に 漏えい した → 機密性 が損なわれた
- Webサイトの内容が 書き換えられた → 完全性 が損なわれた
- 攻撃でサーバが 停止して使えない → 可用性 が損なわれた
3要素に加えて、次の性質も情報セキュリティの要素として挙げられます。
| 要素 | 意味 |
|---|---|
| 真正性 | 利用者や情報が、主張どおりの 本物 であること |
| 責任追跡性 | 誰がいつ何をしたかを 後から追跡できる こと（操作ログなど） |
| 否認防止 | 行った操作や取引を、後から「していない」と否定させない こと |
| 信頼性 | システムが 意図したとおりに一貫して動作する こと |
ISMS ― 組織で守り続ける仕組み
ISMS（情報セキュリティマネジメントシステム） は、組織が情報セキュリティを 計画的・継続的に管理 するための仕組みです。技術的な対策だけでなく、ルール作り、社員教育、入退室管理なども含めて、組織全体で取り組みます。
ISMSの要求事項を定めた規格が JIS Q 27001（国際規格 ISO/IEC 27001 を日本産業規格にしたもの）です。この規格に適合していることを第三者の審査機関が審査・認証する ISMS適合性評価制度 があり、認証を取得すると、取引先などに対して適切な管理をしていることを示せます。
PDCAサイクルで改善し続ける
攻撃の手口や組織の状況は変わり続けるので、一度対策をしたら終わりではありません。ISMSでは PDCAサイクル を回して継続的に改善します。
情報セキュリティポリシー
ISMSの土台になるのが、組織の情報セキュリティのルールをまとめた 情報セキュリティポリシー です。一般に、次のような階層で作られます。
| 階層 | 内容 | 家の防犯でいうと |
|---|---|---|
| 情報セキュリティ基本方針 | 経営者 が示す、組織としての取組みの姿勢・考え方 | 「わが家は防犯を大切にする」という家訓 |
| 情報セキュリティ対策基準 | 基本方針を実現するために守るべき ルール | 「外出時は必ず施錠する」という決まり |
| 実施手順 | 対策基準を実行するための 具体的な手順（マニュアル） | 「玄関と窓の鍵を、この順で確認する」 |
上の階層ほど 抽象的で変わりにくく、下の階層ほど 具体的で頻繁に見直される 文書です。情報セキュリティポリシーという場合、一般に「基本方針」と「対策基準」を指し、実施手順は含めないことが多いです。
基本方針は 経営者（トップ） が定めて社内外に示すものです。「情報システム部門が作る技術マニュアル」ではありません。ISMSは経営者が主導して組織全体で取り組むことが前提です。
リスクアセスメントとリスク対応
ISMSの「Plan」の中心になるのが リスクアセスメント です。次の3つのステップで、どのリスクにどこまで対策するかを決めます。
- リスク特定：守るべき情報資産と、それに対する脅威・脆弱性を洗い出す
- リスク分析：リスクが起きる 可能性（発生頻度） と、起きたときの 影響の大きさ を見積もる
- リスク評価：分析結果を基準と比べ、対応が必要か、どれを優先するかを決める
その後、リスクへの対応方法を選びます。代表的な4つの方法と、選ぶときの一般的な目安は次のとおりです。
| 対応 | 内容 | 例 |
|---|---|---|
| リスク回避 | リスクの原因となる活動そのものを やめる | 個人情報の保管をやめる、危険な業務を廃止する |
| リスク低減（軽減） | 対策によって 発生頻度や影響を小さくする | ウイルス対策ソフトの導入、社員教育、二重化 |
| リスク移転（共有） | 損害の負担を 他者に移す・分け合う | 保険に加入する、業務を専門業者に委託する |
| リスク保有（受容） | 特に対策をせず、リスクを受け入れる | 損害が小さいリスクは、そのまま様子を見る |
保険は「移転」、やめるのは「回避」 です。「保険に入る＝損害を減らす」と考えて「低減」を選ぶミスに注意。保険は事故の起こりやすさや被害そのものは変えず、お金の負担を保険会社に移すだけです。
組織の体制とプライバシーマーク
セキュリティ事故（インシデント）に備えて、多くの組織は CSIRT（シーサート）を設けています。CSIRTは、インシデントが起きたときに 原因の調査や対応、関係者との連絡・調整 を行うチームです。
ISMSとよく比べられるのが プライバシーマーク（Pマーク） 制度です。
| ISMS適合性評価制度 | プライバシーマーク制度 | |
|---|---|---|
| 守る対象 | 情報資産全般 | 個人情報 |
| もとになる規格 | JIS Q 27001 | JIS Q 15001 |
| 認証の範囲 | 組織の一部（部署や事業所）でも取得できる | 事業者単位 で付与される |
試験に出るポイント
- 情報セキュリティの3要素：機密性（見られない）、完全性（改ざんされない）、可用性（いつでも使える）
- 追加の要素：真正性・責任追跡性・否認防止・信頼性
- ISMS は組織全体で情報セキュリティを継続的に管理する仕組み。規格は JIS Q 27001、PDCAサイクル で改善
- 情報セキュリティポリシー：基本方針（経営者が示す）→ 対策基準（ルール）→ 実施手順（具体的な手順）
- リスクアセスメント ＝ リスク特定 → リスク分析 → リスク評価
- リスク対応：回避（やめる）、低減（対策する）、移転（保険・委託）、保有（受け入れる）
- CSIRT ＝ インシデント対応チーム。Pマーク は個人情報が対象で事業者単位