ISO 27001における情報セキュリティ管理システム（ISMS）の管理策

2024年10月19日 2024年12月7日山崎講師

山崎講師

ISO 27001における情報セキュリティ管理システム（ISMS）の管理策は、組織が情報を適切に保護し、セキュリティリスクを管理するための具体的な対策です。これらの管理策は、ISO 27001附属書Aに示されている114の管理策に基づいており、これらを適用することで情報セキュリティを強化することができます。

管理策とは？

管理策は、リスクに対して講じる具体的な手段や対策のことを指します。情報セキュリティの文脈では、技術的な対策や組織的な対策が含まれます。例えば、「パスワードポリシーを定める」「ファイアウォールを導入する」などが管理策に当たります。

ISO 27001では、リスクアセスメントを通じて特定したリスクに対して、これらの管理策を適切に選び、実装することが求められます。

ISO 27001の主な管理策カテゴリ

ISO 27001の管理策は、14のカテゴリに分かれており、各カテゴリの下に具体的な管理策が含まれています。それぞれのカテゴリが情報セキュリティのどの側面に対処するかを見ていきましょう。

1. 情報セキュリティポリシー（A.5）

組織がどのような方針で情報セキュリティを保護するかを定めるためのルールです。ここでは、全体的なセキュリティ戦略を明確にし、全従業員がそれを理解し従うようにすることが求められます。

例:

定期的に見直されるセキュリティポリシーを策定する。

2. 情報セキュリティ組織（A.6）

情報セキュリティを効果的に管理するために、誰が何を担当するのか、役割と責任を明確にします。これにより、セキュリティ管理の混乱を防ぎます。

例:

情報セキュリティの責任者を指定する。
セキュリティインシデント対応チームを設置する。

3. 資産管理（A.8）

どの情報資産が重要であるかを特定し、それらを適切に保護するための手段を講じます。ここでは、情報資産の分類や取扱いに関するルールを定めることが求められます。

例:

情報資産台帳を作成し、資産の所有者を明確にする。
資産ごとのリスク評価を行う。

4. 人的セキュリティ（A.7）

従業員や契約者など、組織内外の人々がセキュリティのリスク要因とならないようにするための対策です。セキュリティ教育や入社・退社時のプロセスが含まれます。

例:

全従業員に対するセキュリティ教育を定期的に実施する。
離職者がシステムにアクセスできないようにする手続きを定める。

5. 物理的および環境的セキュリティ（A.11）

データセンターやオフィスの物理的なセキュリティを確保するための対策です。これは、サーバールームへのアクセス制限や、自然災害に対する備えなどを含みます。

例:

サーバールームへのアクセスを認証された従業員のみに制限する。
盗難や火災に備えた防護システムを導入する。

6. 通信のセキュリティ（A.13）

外部とのデータのやり取りにおけるリスクを管理するための対策です。例えば、インターネット経由で機密情報が漏洩しないようにする仕組みを整えます。

例:

メールやデータ転送時に暗号化を行う。
ファイアウォールやVPNを活用して安全な通信を確保する。

7. システム取得・開発・保守（A.14）

新しいシステムやソフトウェアを導入・開発する際に、セキュリティリスクがないかを確認し、それに対処するための対策です。

例:

開発中のアプリケーションに対して脆弱性診断を実施する。
セキュリティパッチを迅速に適用するためのプロセスを整備する。

8. 情報セキュリティインシデント管理（A.16）

セキュリティインシデント（不正アクセス、情報漏洩など）が発生した際に、それに迅速に対応し、被害を最小限に抑えるための体制を整えます。

例:

インシデント報告手順を定め、全従業員に周知する。
定期的にインシデント対応訓練を実施する。

9. 業務継続管理（A.17）

災害や事故が発生した際にも、業務が中断しないようにするための対策です。バックアップや災害復旧の計画が含まれます。

例:

定期的にデータのバックアップを行い、異なる場所に保管する。
事業継続計画（BCP）を策定し、定期的にテストする。

管理策の選定と実施

ISO 27001では、管理策を無条件にすべて適用するわけではなく、組織のリスクに応じて必要な対策を選びます。これをリスクアセスメントと呼び、特定したリスクに対して最適な管理策を選定します。

管理策を選定するプロセス

リスクアセスメント
組織が直面する情報セキュリティリスクを評価します。たとえば、機密情報を扱う部門がサイバー攻撃を受けるリスクが高い場合、その部門に対して強固な対策が必要です。
リスク対応の選択
特定のリスクに対して、「低減する」「転嫁する（例えば保険）」「受容する」など、どのように対応するかを決定します。
管理策の実施
リスク対応策として管理策を実際に実施し、定期的にその効果を見直します。

今後の学習の指針

ISMSの管理策を深く理解するには、まずはISO 27001の標準的な管理策についてしっかりと学ぶことが重要です。そして、具体的な事例や、自分の組織での適用方法について考え、実践することが求められます。

次のステップとしては、実際のリスクアセスメントやインシデント対応の演習を行い、組織にとって適切な管理策を選定する能力を養っていくと良いでしょう。情報セキュリティは進化し続けているため、最新の技術や脅威動向にも常に目を向けることが求められます。

セイ・コンサルティング・グループでは、情報セキュリティに関連した研修を提供しています。

投稿者プロフィール

山崎講師代表取締役

セイ・コンサルティング・グループ株式会社代表取締役。
岐阜県出身。
2000年創業、2004年会社設立。
IT企業向け人材育成研修歴業界歴20年以上。
すべての無駄を省いた費用対効果の高い「筋肉質」な研修を提供します！
この記事に間違い等ありましたらぜひお知らせください。