情報セキュリティ管理

リスク回避は、危険を生む活動そのものをやめる方法です。リスク低減は、対策を実施して発生可能性や被害を小さくする方法です。

リスク共有には、保険や外部委託などにより損失の負担を他者と分ける考え方があります。リスク保有は、対策コストなどを考慮してリスクを受け入れる対応です。

回避・低減・共有・保有を具体例で区別する。

リスク対応は、事故が起きる前の予防だけではありません。事故発生時に何をするかを定めた対応手順や連絡体制を準備しておくことも重要です。

マニュアルだけでなく、教育や訓練を通じて実際に動ける状態にします。事前の準備によって、事故発生時の混乱や被害拡大を抑えることが狙いです。

事故対応は手順作成だけでなく教育・訓練まで行う。

情報セキュリティの中心となる三つの要素は、機密性、完全性、可用性です。機密性は許可された人だけが情報を利用できること、完全性は情報が正確で改ざんされていないことを表します。

可用性は、必要なときに情報やシステムを利用できることです。情報漏えいは機密性、改ざんは完全性、サービス停止は可用性の問題として問われやすいので、事例から判断します。

漏えいは機密性、改ざんは完全性、停止は可用性。

情報セキュリティでは、三要素以外にも真正性、責任追跡性、否認防止、信頼性などを考えます。真正性は、利用者や情報が正当なものであると確認できる性質です。

責任追跡性は、誰がいつ何をしたかを追跡できる性質です。ログを残して操作した人を追跡できることは責任追跡性に関係すると覚えます。

真正性は正当性、責任追跡性は行動を追える性質。

ISMSは、情報セキュリティを組織として管理するための仕組みです。リスクを把握し、方針や目標を定め、対策を実施し、結果を評価して改善します。

運用ではPDCAの考え方を用いて継続的に見直します。一度ルールを作って終わりではなく、環境やリスクの変化に応じて改善を続けることが大切です。

ISMSは計画・実施・評価・改善を繰り返す。

情報セキュリティポリシーは、組織として情報をどのように守るかを示すルールの体系です。基本的な考え方から、具体的な対策や実施方法まで段階的に定めることがあります。

経営環境や技術、脅威が変化すれば、内容を見直す必要があります。一度決めた方針を永久に変えないという考え方ではない点を押さえます。

方針やルールは環境変化に合わせて見直す。

個人情報を扱う組織には、利用目的を明確にし、漏えいや不正利用を防ぐための安全管理措置を講じることが求められます。組織としての考え方をプライバシーポリシーとして示す場合もあります。

個人情報保護では、法律を守るだけでなく、利用者から信頼される管理体制を整えることが重要です。個人情報の取得から保管、利用、廃棄までを通じて管理すると考えます。

個人情報は取得から廃棄まで一連の流れで管理する。

CSIRTは、情報セキュリティインシデントに備え、発生時の対応や関係者との連携、再発防止などを行う組織です。社内だけでなく外部機関と情報共有する場合もあります。

SOCは、ネットワークや端末などを継続的に監視し、不審な兆候を検知・分析する役割を担います。CSIRTは事故対応、SOCは監視・分析という違いを軸に整理すると分かりやすくなります。

CSIRTは対応、SOCは監視・分析が中心。

サイバー攻撃への対応では、企業だけでなく専門機関による情報共有や被害組織への支援も行われます。標的型攻撃などの被害拡大防止を目的として、専門家が支援する仕組みもあります。

届出制度では、ウイルスや不正アクセス、脆弱性などの情報を集め、対策や注意喚起に役立てます。組織を越えて情報を共有し、同じ被害の再発や拡大を防ぐことが目的です。

外部機関は情報共有・支援・再発防止に役立つ。

情報セキュリティの基準やガイドラインは、対象や目的が異なります。試験では名称だけでなく、誰を対象とし、何を守るためのものかを問われます。

例えばPCI DSSは、クレジットカード情報を取り扱う環境のセキュリティを高めるための基準です。名称と対象分野を一対一で対応させて覚えると判断しやすくなります。

PCI DSSはクレジットカード情報の保護に関する基準。

経営者向け、中小企業向け、IoT向けなど、対象に応じたセキュリティガイドラインがあります。組織の規模や事業内容に合わせて、必要な対策を検討するために利用されます。

ガイドラインは、具体的な対策を考える際の基準や参考になります。認証制度、法律、ガイドラインをすべて同じものとして扱わないことが大切です。

ガイドラインは対象や目的を見て区別する。