ISO27001とは

情報セキュリティとは 　　　　　　　　　　　　　　　｜ サイトマップ

情報セキュリティとは、JIS Q 27000 : 2014では次のように定義されています。 情報セキュリティ（information security）とは情報の機密性(2.12)、完全性(2.40)及び可用性(2.9)を維持すること。

ここで、機密性（confidentiality）とは、認可されていない個人，エンティティ又はプロセスに対して，情報を使用不可又は非公開にする特性をいう。また、完全性（integrity）とは、資産の正確さ及び完全さを保護する特性をいい、可用性（availability）とは、認可されたエンティティが要求したときに，アクセス及び使用が可能である特性をいう。これらをバランスよく維持することを指します。

ISO27001とは

国際規格ISO27001:2005「情報技術－セキュリティ技術一情報セキュリティマネジメントシステム・要求事項」は、情報セキュリティ（information security）をマネジメントするシステムの要求事項が書かれた規格です。~ その後、規格の改定が行われ、現在の最新規格は、2013年版（ISO27001:2013）となっています。

＜＜ISO/IEC 27001:2013の改定の経緯＞＞
ISO/IEC 27001：2005は、2008年10月にISOの定期見直しが開始され、3年間の見直しの予定でしたが、2009年 にISO Guide 83のマネジメントシステム 規格の上位構造（High Level Structure）、 共通テキスト（Identical core text）等の 考え方により改定作業が見直されました。 その結果、共通テキストをベースにした改定 作業が進められることになりました。
2015年現在、ISO/IEC 27001:2013は正式な国際規格として定着し、認証取得企業は新規格への移行を進めている段階にあります。

ISMSとは

ISMSとは情報セキュリティマネジメントシステム（Information Security Management System）の略称です。企業などの組織が情報を適切に管理し、情報セキュリティを確保するための体系的なしくみ。コンピュータシステムのセキュリティ対策だけでなく、情報を扱う際の基本的な方針(セキュリティポリシー)や、それに基づいた具体的な計画、計画の実施・運用、一定期間ごとの方針・計画の見直しまで含めた、トータルなリスクマネジメント体系のことを指しています。

ISMS（情報セキュリティマネジメントシステム）の必要性

好むと好まざるに関わらず、企業の活動の奥深くまでコンピュータネットワークシステムが入り込んできている。これは既に避けることが出来ないものとなっている。 既にインターネットシステムは、輸送・交通、エネルギー、金融のネットワークとともにそれらを支える基幹の情報ネットワークとしてライフラインとなっている。 あらゆる分野、あらゆる立場で「情報セキュリティ」が極めて重要となっている。 言い換えれば、ひとたび「情報ネットワークシステム」に何か問題が発生すれば企業の 継続性にも大きな影響が及ぶことを意味し、日常生活も大きな影響を受けることを意味 している。

認証取得までにPDCAサイクルを１回転させる

  • Plan－計画（ISMSの確立）

全般的な基本方針及び目標に沿った結果を出すための、リスクマネジメント及び情報セキュリティの改善に関連する情報セキュリティ基本方針、目標、プロセス及び手順を確立する。

  • Do－実施（ISMSの導入及び運用）

情報セキュリティ基本方針、管理策、プロセス及び手順を導入し、運用する。

  • Check－点検（ISMSの監視及び見直し）

情報セキュリティ基本方針、目標及び実際の経験に照らしてプロセスの実施状況を評価し、可能な場合これを測定し、その結果を見直しのために社長に報告する。

  • ACT－処置（ISMSの維持及び改善）

ISMSの継続的な改善を達成するために、内部監査及びマネジメントレビューの結果やその他関連情報に基づいて是正処置及び予防処置を講ずる。

システム構築（ＩＳＭＳの確立）

ISO27001のシステム構築の始めにISMSの適用範囲を決め、ISMS基本方針を制定する。制定した基本方針に基づいて、リスクマネジメントを始めとした具体的な構築作業に取りかかる。 ISO27001認証取得の中核となるリスクマネジメントについては、次のStep１からStep８を行なう。

（Step１）リスクアセスメント手法を決定する。
（Step２）保護すべき情報資産に対するリスクを識別する。
（Step３）リスクを分析し評価する。
（Step４）リスク対応についての選択肢を明確にし、評価する。
（Step５）リスク対応に関する管理目的と管理策を選択する。
（Step６）経営陣は残留リスクの承認をする。
（Step７）ＩＳＭＳの導入及び運用について許可する。
（Step８）適用宣言書を作成する。

なお、リスクマネジメント用語の汎用的な定義によれば、リスクマネジメントとは「リスクに関して組織を指揮し管理する調整された活動」としている。この結果を元に、各社の業務運営実態に則した各種規定類の策定を行い、経営者の承認を得る。

リスクアセスメント４つの手法

リスクアセスメントにはいくつかの手法があり、企業が自社の情報資産やその保護の状況を勘案してどの方法を選択するかを決定する。リスクアセスメントは始めてISMSのシステム構築に取り組む際に最も難しい部分となる。自力で行なうより、信頼と実績のあるプロのコンサルタントを活用することがムリ・ムダのない取り組みとなる。 分析手法の例として一般的には次の４つの手法がある。

  1. ひとつまたは複数の対策を一律にシステム全体に適用する方法（ベースラインアプローチ）
  2. 専門家や経験者の知識に依存して実施する方法（非形式的アプローチ）
  3. 情報資産の一つひとつについて詳細な分析を実施する方法（詳細リスク分析）
  4. ベースラインアプローチと詳細リスク分析を組み合わせる方法（組み合わせアプローチ）

これらの手法については、ＩＳＭＳユーザーズガイド－リスクマネジメント編「補章２ ＧＭＩＴＳにおけるリスク分析の手法」に解説がある。特長を理解して、最適な手法を選択する。

＜＜リスクアセスメント＞＞

ISO/IEC 27001：2013「6.1．2 情報セキュリティリスクアセスメント」では、「組織は、次の事項を行う、情報セキュリティリスクアセスメントのプロセスを定め、・・リスク基準（リスク受容基準、情報セキュリティリスクアセスメントを実施するための基準等 ）を確立する」としている。

一方、ISO/IEC27001：2005では、「リスクアセスメントに対する組織の取組み方を定義する。これには、・・事業上の情報セキュリティの要求事項、並びに特定された法令及び規制の要求事項に適したリスクアセスメントの方法の特定、リスクを評価するに当たっての基軸の確立、リスク受容基準の設定、リスクの受容可能レベルの特定、リスク受容基準及びリスクの受容可能レベルを決定する」としている。

このことは、リスクアセスメントの記述レベルをISO 31000に合わせた要求事項になっていると考えられる。 ISO/IEC 27001：2005での資産、脅威、脆弱性等によるリスクアセスメントプロセスの記述はなくなっているが、要求事項の上位レベルの記述（情報セキュリティリスクを特定する）には、C・I・A（機密性、完全性、可用性）は存在しているので、基本的にはリスクアセスメントの適用は同じであると考えられる。

情報資産とは

情報資産の例としては、次のようなものがあります。

情報資産（紙媒体） 見積書、契約書など
情報資産（電子媒体） ＣＤ、 ＭＯ（持ち運び可能な記憶媒体）など
情報資産（システム） 顧客 ＤＢ（サーバや ＰＣ内に格納される電子情報）など
ソフトウェア資産 ＤＴＰソフト、文書作成ソフト、表計算ソフトなど
ハードウェア資産 ＰＣ筐体、サーバ、ルータなど
サービス 清掃サービス、ペンディングサービス、ASPサービスなど
要員 サーバルームオペレータ、個人情報入力オペレータなど

ISMS付属書Aの詳細管理策

2005年版の詳細管理策は、以下のようにA.5からA.15まで11の領域／分類（管理目的：39個、管理策：133個）がありました。 これらの詳細管理策を採用するか否かを適用宣言書で明確に記述するようになっていました。

  • A.5 セキュリティ基本方針
  • A.6 情報セキュリティのための組織
  • A.7 資産の管理
  • A.8 人的資源のセキュリティ
  • A.9 物理的及び環境的セキュリティ
  • A.10 通信及び運用管理
  • A.11　アクセス制御
  • A.12 情報システムの取得、開発及び保守
  • A.13 情報セキュリティインシデントの管理
  • A.14　事業継続管理
  • A.15 コンプライアンス

これが2013年版では、管理策の数が、2005 年の 133 から 114 になりました。（下記）

  • A.5 情報セキュリティのための方針群
  • A.6 情報セキュリティのための組織
  • A.7 人的資源のセキュリティ
  • A.8 資産の管理
  • A.9 アクセス制御
  • A.10 暗号
  • A.11 物理的及び環境的セキュリティ
  • A.12 運用のセキュリティ
  • A.13 通信のセキュリティ
  • A.14 システムの取得、開発及び保守
  • A.15 供給者関係
  • A.16 情報セキュリティインシデント管理
  • A.17 事業継続マネジメントにおける情報セキュリティの側面
  • A.18 順守

これからシステム構築をされる組織は事前のチェックとして、次のチェックをしてみるとよいでしょう。

  • 物理的・環境的側面のチェック（出入口やパーティションなど）
  • オフィスセキュリティ面でのセキュリテイゾーンのチェック（オフィスレイアウト図）
  • ネットワーク環境のチェック（ネットワーク図）
  • 情報管理に関するコンプライアンス上のチェック（ソフトウェアライセンスなど）
  • 新規システム構築または更新の検討
  • 関連する過去のセキュリティ事件・事故
  • セキュリティ組織の編成
  • システム導入・運用

システム導入運用にあたり社員教育を実施する。初回構築時におけるＰＤＣＡの運用であるＤｏは、初めての取り組みとなるため、開始時は特に「試行」的な運用として、試行錯誤を繰り返しながらシステム運用を確立していくことになる。そのため、取得期限などを加味しながらも出来る限り長い期間を取って、定められた規則や手続きに従い、各人の役割を確かめながら進めていくことが肝要となる。 次にISO27001規格に基づき、運用状況を点検、評価する内部監査を実施する。内部監査において指摘された事項、日々の事件・事故報告、また情報セキュリティに関する利害関係者からの報告事項などをもとに是正処置及び予防処置を実施する。 内部監査結果などのインプット情報を収集してマネジメントレビューを実施する。

情報セキュリティマネジメントシステム実践のポイント

  • その組織にあったリスク評価を行い、現状に合った対策を実施する。
  • 適切なリスク対策の策定と実践。
  • 啓発・教育・訓練で、従業員意識の維持／向上を図る。

製造業／医療情報処理業におけるISO27001・情報セキュリティマネジメントシステム

製造業／医療情報処理業におけるISO27001・情報セキュリティ、ISMSは下記をクリックください。

ニーズで選べる支援内容

実績豊富なISOコンサルタント陣がISO取得に必要な工数をお客様のニーズで選べます。お問い合わせください。 また、既にシステム運用をしていて、改善したいのだが。。。といった改善のご相談もお気軽にお問い合わせください。

ISO27001システム構築で参考となる資料

  • JIS Q 27000:2014　（有料）日本規格協会か書店で購入　　H26.3.20 新JIS規格の発売が開始されました。
  • JIS Q 27001:2014　（有料）　　　　　〃
  • JIS Q 27002:2014　（有料）　　　　　〃
  • ISMS適合性評価制度の概要（無料）JIPDECのホームページで入手
  • IＳＭＳユーザーズガイド－リスクマネジメント編（無料）同上
  • 外部委託における ISMS適合性評価制度の活用方法（無料）同上
  • ISMS構築事例集（無料）同上

ISO27001特別レポートを無料公開！

実績豊富なISOコンサルタント陣がISO9001、ISO14001、Pマーク取得ノウハウをご提供。ISO担当者だけでなく経営者も必見の情報です。まずは最新の無料レポートをご覧下さい。 ISO27001,ISO14001,ISO9001,Pマーク取得に関するお悩み・ご相談を無料メール相談でお受けします。専門家のアドバイスを受けたい方、まずはこの無料サービスをご利用下さい。

2013年版への移行支援コンサルティング、2013年版での新規認証取得支援のコンサルティングを行っております。

御見積りは信頼と実績のタテックスまで　お問合せ　ください。

お問合せは、ここをクリック→　お問合せ