BS7799

BS7799

   BSI（British Standards Institution：英国規格協会）によって1995年に作成された「BS7799」は後に、情報セキュリティ管理のベストプラクティスである 「BS7799-1（情報セキュリティマネジメントのための実践規範）」と、ISMS（情報セキュリティマネジメントシステム）の要求事項である 「BS7799-2（情報セキュリティ管理システム仕様）」の2部構成に別れた。

   いずれも後の「ISO/IEC 17799」「ISO/IEC 27000シリーズ」および国内の「JIS X 5080」「ISMS適合性評価制度」のISMS認証基準に影響を与えている。

ISO/IEC17799、JIS X 5080、JIS Q 27002

   「BS7799-1」は2000年12月にISO化され「ISO/IEC17799:2000」が発行されたが、2005年6月には改訂され 「ISO/IEC 17799:2005」となった。そして2007年には「ISO/IEC 27002:2007」となる予定である。

   国内では「ISO/IEC 17799:2000」を基に、2002年2月に「JIS X 5080:2002」が制定され、2006年5月20日には「JIS Q 27002:2006」が制定される予定である。

ISMS認証基準、ISO/IEC 27001、JIS Q 27001

   ISMSの要求事項である「BS7799-2」は1999年に発行されたが、2002年には改訂されて「BS7799-2:2002」となった。国 内では2002年4月にJIPDECによりISMS適合性評価制度が確立され、「ISMS認証基準（Ver.1.0）」が「ISO/IEC 17799:2000（JIS X 5080:2002）」を基にしながらも「BS7799-2」を参考にして作成された。

   そして2003年4月には、「BS7799-2:2002」を基に「ISMS認証基準（Ver.2.0）」が作成されている。また 「BS7799-2:2002」は2005年10月にISO化され、「ISO/IEC 27001:2005」となっている。それを受け国内では、2006年5月20日には「JIS Q 27001:2006」が制定される予定である。

   認証の基準の変化により、附属書「詳細管理策」（注1）の領域分類や管理策が一部変更されているが、要求事項の本質的な大きな修正・追加はないといえる（表2）。

表2：認証の基準の附属書「詳細管理策」の変遷
（画像をクリックすると別ウィンドウに拡大表示します）

情報セキュリティ監査制度

   情報セキュリティ監査制度とは、経済産業省により設立された日本セキュリティ監査協会（JASA）が2003年4月に開設した制度である。組織とし てISMS認証を取得するレベルまでには到達していなくても、独立かつ専門的知識を持った者に対して、情報セキュリティ対策の評価を依頼するニーズや、監 査を受けた上で得た「保証」を商取引などにおいて活用したいとのニーズに応じることができる。

   民間企業や政府、地方自治体などの情報セキュリティ対策の監査を目的としたこの制度のポイントを表3に示す。