情報セキュリティ管理(ISMS・リスクマネジメント・規程類)

情報セキュリティマネジメントシステム(ISMS)は、組織が情報セキュリティを組織的・体系的に確立し、実施し、維持し、継続的に改善するための枠組みであり、その要求事項はJIS Q 27001:2023(ISO/IEC 27001:2022)に規定されている。ISMSの中核は、トップマネジメントのリーダーシップ(箇条5)の下で情報セキュリティ方針を確立し、リスクアセスメントとリスク対応の計画(箇条6)、運用(箇条8)、内部監査・マネジメントレビューによるパフォーマンス評価(箇条9)、不適合への是正処置を含む改善(箇条10)を繰り返す点にあり、これは計画(Plan)・実行(Do)・点検(Check)・改善(Act)のPDCAサイクルに対応する。リスク対応のために決定した管理策は附属書Aに示される管理策と比較して見落としがないかを検証し、管理策の採否とその理由を「適用宣言書」として文書化することが要求される。本試験では、この一連の流れと「誰が何を行うか」という要求事項の主体が、科目A・科目Bの双方で繰り返し問われる。

JIS Q 27000:2019は情報セキュリティを「情報の機密性、完全性及び可用性を維持すること」と定義する。機密性(Confidentiality)は認可されていない個人、エンティティ又はプロセスに対して情報を使用させず、開示しない特性、完全性(Integrity)は正確さ及び完全さの特性、可用性(Availability)は認可されたエンティティが要求したときにアクセス及び使用が可能である特性である。さらに同規格は、真正性(エンティティは、それが主張するとおりのものであるという特性)、責任追跡性(動作が動作主のエンティティまで一意に追跡できること)、否認防止(主張された事象又は処置の発生、及びそれらを引き起こしたエンティティを証明する能力)、信頼性(意図する行動と結果とが一貫しているという特性)などの特性の維持を含めることもあるとしており、この7特性の用語と定義文の対応は科目Aの定番論点である。定義文の主語や述語を入れ替えたひっかけが頻出するため、規格の文言どおり正確に押さえる必要がある。

リスクマネジメントの原則及び指針はJIS Q 31000:2019に示され、ISMSではこれを情報セキュリティリスクに適用する。リスクアセスメントは、リスク特定(リスクを発見・認識・記述する)、リスク分析(リスクの性質を理解し、リスクレベルを決定する)、リスク評価(分析の結果をリスク基準と比較し、対応の要否と優先順位を決定する)の三つのプロセスで構成される。リスクレベルは「結果(影響の大きさ)」と「起こりやすさ(発生可能性)」の組合せとして表され、リスク基準はリスクの重大性を評価するための目安となる条件であり、アセスメントに先立って確立しておく。分析手法には、既存の標準やガイドラインに基づき一律の管理策水準を適用するベースラインアプローチ、情報資産ごとに資産価値・脅威・脆弱性を識別して評価する詳細リスク分析、担当者の経験や判断に依拠する非形式的アプローチ、重要な情報資産には詳細リスク分析を、その他にはベースラインを適用する組合せアプローチがある。JIS Q 27001は、リスクを運用管理する責任と権限を持つ「リスク所有者」を特定することも要求している。

リスク対応の代表的な選択肢は四つに整理される。リスク回避はリスクを生じさせる活動自体を中止・変更すること、リスク低減(リスク修正)は管理策の導入により発生可能性や影響の大きさを小さくすること、リスク共有(リスク移転を含む)は保険加入や業務委託により他者とリスクを分担すること、リスク保有(リスク受容)はリスクレベルが受容基準を満たす場合などに、あえて追加対応せず受け入れることである。サイバー保険への加入はリスクファイナンシングによるリスク共有の典型例だが、共有しても組織の説明責任まで移転できるわけではない点に注意する。対応後に残るリスクは残留リスクと呼ばれ、JIS Q 27001箇条6.1.3では残留リスクの受容についてリスク所有者の承認を得ることが要求される。残留リスクをゼロにすることは要求されておらず、費用対効果を踏まえて受容可能な水準まで低減するという考え方が基本である。利害関係者とリスクに関する情報を共有し対話するリスクコミュニケーションも重要な構成要素である。

情報セキュリティ諸規程は、一般に情報セキュリティ基本方針(ポリシー)、対策基準(スタンダード)、実施手順(プロシージャ)の三階層で体系化される。基本方針は情報セキュリティに対する組織の意図と方向性を示す最上位文書であり、トップマネジメント(経営陣)が確立し承認する。JIS Q 27001箇条5.2は、方針を文書化した情報として利用可能な状態にし、組織内に伝達し、必要に応じて利害関係者が入手できるようにすることを求めており、基本方針をWebサイト等で対外公表する企業も多い(「社外秘にすべき」という選択肢は誤り)。対策基準は基本方針を実現するために遵守すべき事項を具体化した規程、実施手順は担当者が日常業務で従う詳細なマニュアルに相当する。規程類には適用範囲、違反時の懲戒、例外措置の手続、見直しの周期と手続も定め、組織や技術環境の変化に応じて改訂する。従業員への周知と教育・訓練が伴って初めて実効性を持つ点は、科目Bの事例問題で問われやすい。

ISMSを支える組織体制として、経営陣や各部門の代表で構成され情報セキュリティに関する基本的事項を審議・決定する情報セキュリティ委員会、施策全体に責任を負う最高情報セキュリティ責任者(CISO)、インシデント対応の中核となるCSIRTなどが置かれる。パフォーマンス評価の仕組みとして、JIS Q 27001箇条9.2はあらかじめ定めた間隔での内部監査を要求し、監査員の選定及び監査の実施においては監査プロセスの客観性及び公平性を確保しなければならない(監査員が自らの業務を監査しない等)。箇条9.3はトップマネジメントによるマネジメントレビューを要求し、内部監査の結果、リスクアセスメントの結果、利害関係者からのフィードバック等をインプットに、改善の機会やISMS変更の必要性を決定する。監査は「独立した立場による検証」、マネジメントレビューは「経営陣自身による見直しと方向付け」という役割の違いを区別して覚えることが重要である。

第三者認証・監査の制度も頻出である。ISMS適合性評価制度では、認定機関である情報マネジメントシステム認定センター(ISMS-AC)が認証機関を認定し、その認証機関が組織のISMSをJIS Q 27001に基づいて審査し認証を付与する。JIS Q 27001:2023の附属書Aの管理策は、組織的管理策(37)、人的管理策(8)、物理的管理策(14)、技術的管理策(34)の4分類・93管理策に再編されており、管理策の実践の手引はJIS Q 27002に示される。また、経済産業省の情報セキュリティ監査制度では、「情報セキュリティ監査基準」が監査人の行為規範を、「情報セキュリティ管理基準」が監査上の判断の尺度を示す。個人情報保護に特化した制度としては、JIS Q 15001に基づく個人情報保護マネジメントシステム(PMS)を評価するプライバシーマーク制度(付与機関はJIPDEC)があり、ISMS認証(情報セキュリティ全般が対象)との対象範囲の違いを区別して覚える必要がある。