ISMSとは - 理数の散策路

情報セキュリティマネジメントシステム
情報セキュリティ管理策

情報セキュリティマネジメントシステム

ISMS（情報セキュリティマネジメントシステム）とは、明確な方針や規定に基づき、情報資産のセキュリティ（機密性・完全性・可用性）を維持・管理するための仕組みです。ISMSに関する国際規格はISO/IEC2700ファミリと呼ばれており、日本でもJIS化すると伴に、ISMS適合性評価制度（JIPDEC）が2001年より運用されています。

ISO/IEC2700ファミリ

ISO/IEC2700ファミリの中で特に重要な規格は以下になります。

ISO/IEC 27001：情報セキュリティマネジメントシステム要求事項
ISO/IEC 27002：情報セキュリティ管理策の実践のための規範

ISO/IEC 27001には、組織がISMSを確立・実施し、継続的に改善するための要求事項が規定されています。ISO/IEC 27002には、組織がISMSを実施するためのガイドラインで、管理策が示されています。

ISMS適合性評価制度

ISMS適合性評価制度とは、組織のISMSが、ISO/IEC 27001に適合しているかの認定を行います。作業の流れは以下になります。

組織内の適用範囲の決定
情報セキュリティ方針（ポリシ）の確立
リスクアセスメントの方法を決定
情報資産、脅威、脆弱性の洗い出し
リスクレベルの算定
リスク対応（回避、移転、軽減、受容）の決定
管理策の決定
リスク対応計画と適用宣言書の作成

ISMS適合性評価制度は、半年～１年に１回の頻度で継続審査を受けるとともに、３年に１回は更新審査を受ける必要があります。ISMSは、以下のPDCA（Plan/Do/See/Action）の４つのステップを繰り返しながら継続的に運用することが推奨されています。

情報セキュリティ管理策

情報セキュリティ管理策（ISO/IEC 27002）は、以下の14のカテゴリから構成されます。

A.５	情報セキュリティのための方針群
A.６	情報セキュリティのための組織
A.７	人的資源のセキュリティ
A.８	資産の管理
A.９	アクセス制御
A.10	暗号
A.11	物理的及び環境的セキュリティ
A.12	運用のセキュリティ
A.13	通信のセキュリティ
A.14	システムの取得、開発及び保守
A.15	供給者関係
A.16	情報セキュリティインシデント管理
A.17	事業継続マネジメントにおける情報セキュリティの側面
A.18	順守

以下、特に技術的対策について以下の述べます。

A.８資産の管理

組織が持つ情報資産を特定し、重要度に応じてレベル分けし管理します。情報の作成、保管、破棄などのライフサイクルのルールや、USBメモリなどの媒体の取り扱いルールを定めます。

資産に対する責任
資産目録の作成、資産の管理責任、資産利用の許容範囲、資産の返却
情報分類
情報の分類、情報のラベル分け、資産の取扱いルール
媒体の取扱い
取外し可能な媒体の管理、媒体の処分、物理的媒体の輸送

A.９アクセス制御

システムや情報資産への認可されていないアクセスを防止します。アクセス制御は個人が特定できる利用者IDで管理し、操作を記録し、定期的に見直す必要があります。特に、特権的アクセス権は職務上最低限の必要性に基づいて割当てる必要があります。

パスワードは堅牢なものを使用し、また、パスワードに代えて暗号による手段や生体認証なども検討することが重要です。

アクセス制御に対する業務上の要求事項
アクセス制御方針、ネットワーク及びネットワークサービスへのアクセス
利用者アクセスの監視
利用者登録及び登録削除、特権的アクセスの管理、利用者の秘密認証情報の管理、利用者アクセス権のレビュー、アクセス権の削除又は修正
利用者の責任
秘密認証情報の利用
システム及びアプリケーションのアクセス制御
情報へのアクセス制限、セキュリティに配慮したログオン手続、パスワード管理システム、特権的なユーティリティプログラムの使用、プログラムソースコードへのアクセス制御