 |
||||||||||||||
|
||||||||||||||
| 前のページ 1 2 3 4 次のページ | ||||||||||||||
|
||||||||||||||
| ISMSにおけるリスクアセスメントの位置付けと要件 | ||||||||||||||
|
個人情報保護とISMSについて概観してきたが、以降よりISMSに着目してリスクアセスメントを説明する。 まずは、ISMSにおけるリスクアセスメントの位置付けを確認する。JIS Q 27001:2006「情報技術-セキュリティ技術-情報セキュリティマネジメントシステム-要求事項」は、表4に示すとおり「計画（Plan）、実行（Do）、点検（Check）、処置（Act）」マネジメントモデルを採用している。
表4：JIS Q 27001:2006
「情報技術-セキュリティ技術-情報セキュリティマネジメントシステム-要求事項」 表4の中でもリスクアセスメントは、「計画（Plan）」にあたる「4.2.1 ISMSの確立」の中で定義されており、表5の要件がある。
表5：リスクアサスメントの要件
リスクの受容・対応の判断には、「リスクアセスメントに対する組織の取組み方」の2によって確立したリスク受容基準を用いる。リスク受容基準については、「5.1経営陣のコミットメント」の中の「リスク受容基準及びリスクの受容可能レベルの決定」で行う。 |
||||||||||||||
| ISMSにおけるリスク | ||||||||||||||
|
ISMSにリスクとは、情報資産にかかわるリスクである。まずは、JIS Q 27002:2006「情報技術-セキュリティ技術-情報セキュリティマネジメントの実践のための規範」が示すセキュリティ管理策を確認する。  図1：セキュリティ管理策の構造 （画像をクリックすると別ウィンドウに拡大図を表示します） ISMS認証では、図1のセキュリティ管理策の網掛け部分の管理策を必須とし、他の管理策は任意としている。 セキュリティ管理策には、図1に示すように11の箇条があり、各箇条にはいくつかのセキュリティカテゴリがある。各セキュリティカテゴリには、管理目的が定義されており、その下にいくつかの管理策が定義されている。 セキュリティカテゴリは計39であり、管理策が計133である。表6にセキュリティ管理策の箇条／セキュリティカテゴリ／管理目的に分けて示す。  表6：セキュリティ管理策の箇条／セキュリティカテゴリ／管理目的 （画像をクリックすると別ウィンドウに拡大図を表示します） セキュリティ管理策の箇条「13 情報セキュリティインシデントの管理」は、ISMS認証基準（Ver.2.0）からISO/IEC 27001:2005に移行したとき追加されたものである。 情報セキュリティインシデント（information security incident）とは、「望まない又は予期しない単独又は一連の情報セキュリティ事象であって、事業運営を危うくする確率、及び情報セキュリティを脅かす確率が高いもの」（ISO/IEC 27001:2005 用語定義）である。 建設現場や工場などでの安全管理の分野では、ハインリッヒ法則と呼ばれる「1:29:300」の数字がある。これは人命に関わるような重大事故1件の背後には、29件の中規模事故があり、さらにその背後には300件の小規模事故、あるいは「ヒヤリ」とした未然事故があるという法則である。 ISMSのセキュリティ管理策を確認したが、ISMSのリスクとは、管理目的を阻害するリスクといえる。それらを大きく分けると、次にあたる局面におけるリスクである。 |
||||||||||||||
| 情報資産取扱い | ||||||||||||||
|
情報資産の作成／取得／利用／貸出／移送／配布／破棄などのライフサイクルにおける各局面で起こりうるリスクである。情報資産を取り扱う上で発生する紛失、破壊、盗難、改竄などに該当する。 |
||||||||||||||
| システム開発・運用 | ||||||||||||||
|
情報システムの故障及びサービス停止、サービスの妨害（DoS：Denial of Service）、不完全または不正確な業務データに起因する誤り、システムへの不正アクセスなどのリスクである。システムが取扱う情報資産にかかわる。 |
||||||||||||||
| 施設・作業環境 | ||||||||||||||
|
業務執務室、システムが稼動しているデータセンタ、開発・運用の作業環境等で起こりうるリスクである。施設、作業環境で発生する不正侵入、什器類破壊などに該当する。 |
||||||||||||||
|
前のページ 1 2 3 4 次のページ |
||||||||||||||
|
|
||||||||||||||
|
|
||||||||||||||
|
||||||||||||||
|
|
||||||||||||||
|
||||||||||||||
|
|
||||||||||||||
|
||||||||||||||
-
-
連載
