ISO27001

ISO27001 > ISO27001-2013 > 4. 組織の状況から10. 改善 > 付属書Ａ.管理目的及び管理策 > 詳細管理策の解説 > 情報セキュリティ用語 > 医療情報処理業 ISO27001 > 製造業 ISO27001 ｜ サイトマップ

情報セキュリティとは

情報セキュリティとは、JIS Q 27000 : 2014では次のように定義されています。~
情報セキュリティ（information security）とは情報の機密性、完全性及び可用性を維持すること。

ここで、機密性（confidentiality）とは、認可されていない個人，エンティティ又はプロセスに対して，情報を使用不可又は非公開にする特性をいう。~
また、完全性（integrity）とは、資産の正確さ及び完全さを保護する特性をいい、可用性（availability）とは、認可されたエンティティが要求したときに，アクセス及び使用が可能である特性をいう。~
これらをバランスよく維持することを指します。

ISO27001とは

国際規格ISO27001:2005「情報技術－セキュリティ技術一情報セキュリティマネジメントシステム・要求事項」は、情報セキュリティ（information security）をマネジメントするシステムの要求事項が書かれた規格です。~
その後、規格の改定が行われ、現在の最新規格は、2013年版（ISO27001:2013）となっています。

＜＜ISO/IEC 27001:2013の改定の経緯＞＞~
ISO/IEC 27001：2005は、2008年10月にISOの定期見直しが開始され、3年間の見直しの予定でしたが、2009年 にISO Guide 83のマネジメントシステム 規格の上位構造（High Level Structure）、 共通テキスト（Identical core text）等の 考え方により改定作業が見直されました。
その結果、共通テキストをベースにした改定 作業が進められました。~
現在では、新規格への移行も終え、ISO/IEC 27001:2013は正式な国際規格として定着して運用されています。

ISMSとは

ISMSとは情報セキュリティマネジメントシステム（Information Security Management System）の略称です。企業などの組織が情報を適切に管理し、情報セキュリティを確保するための体系的なしくみ。コンピュータシステムのセキュリティ対策だけでなく、情報を扱う際の基本的な方針(セキュリティポリシー)や、それに基づいた具体的な計画、計画の実施・運用、一定期間ごとの方針・計画の見直しまで含めた、トータルなリスクマネジメント体系のことを指しています。

ISMS（情報セキュリティマネジメントシステム）の必要性

好むと好まざるに関わらず、企業の活動の奥深くまでコンピュータネットワークシステムが入り込んできている。これは既に避けることが出来ないものとなっている。
既にインターネットシステムは、輸送・交通、エネルギー、金融のネットワークとともにそれらを支える基幹の情報ネットワークとしてライフラインとなっている。
あらゆる分野、あらゆる立場で「情報セキュリティ」が極めて重要となっている。
言い換えれば、ひとたび「情報ネットワークシステム」に何か問題が発生すれば企業の 継続性にも大きな影響が及ぶことを意味し、日常生活も大きな影響を受けることを意味 している。

認証取得までにPDCAサイクルを１回転させる

• Plan－計画（ISMSの確立）
• 全般的な基本方針及び目標に沿った結果を出すための、リスクマネジメント及び情報セキュリティの改善に関連する情報セキュリティ基本方針、目標、プロセス及び手順を確立する。
• Do－実施（ISMSの導入及び運用）
• 情報セキュリティ基本方針、管理策、プロセス及び手順を導入し、運用する。
• Check－点検（ISMSの監視及び見直し）
• 情報セキュリティ基本方針、目標及び実際の経験に照らしてプロセスの実施状況を評価し、可能な場合これを測定し、その結果を見直しのために社長に報告する。
• ACT－処置（ISMSの維持及び改善）
• ISMSの継続的な改善を達成するために、内部監査及びマネジメントレビューの結果やその他関連情報に基づいて是正処置及び予防処置を講ずる。

システム構築（ＩＳＭＳの確立）

ISO27001のシステム構築の始めにISMSの適用範囲を決め、ISMS基本方針を制定する。制定した基本方針に基づいて、リスクマネジメントを始めとした具体的な構築作業に取りかかる。
ISO27001認証取得の中核となるリスクマネジメントについては、次のStep１からStep８を行なう。~

（Step１）リスクアセスメント手法を決定する。~
（Step２）保護すべき情報資産に対するリスクを識別する。~
（Step３）リスクを分析し評価する。~
（Step４）リスク対応についての選択肢を明確にし、評価する。~
（Step５）リスク対応に関する管理目的と管理策を選択する。~
（Step６）経営陣は残留リスクの承認をする。~
（Step７）ＩＳＭＳの導入及び運用について許可する。~
（Step８）適用宣言書を作成する。~

なお、リスクマネジメント用語の汎用的な定義によれば、リスクマネジメントとは「リスクに関して組織を指揮し管理する調整された活動」としている。この結果を元に、各社の業務運営実態に則した各種規定類の策定を行い、経営者の承認を得る。

リスクアセスメント４つの手法

リスクアセスメントにはいくつかの手法があり、企業が自社の情報資産やその保護の状況を勘案してどの方法を選択するかを決定する。リスクアセスメントは始めてISMSのシステム構築に取り組む際に最も難しい部分となる。自力で行なうより、信頼と実績のあるプロのコンサルタントを活用することがムリ・ムダのない取り組みとなる。
分析手法の例として一般的には次の４つの手法がある。

1. ひとつまたは複数の対策を一律にシステム全体に適用する方法（ベースラインアプローチ）
2. 専門家や経験者の知識に依存して実施する方法（非形式的アプローチ）
3. 情報資産の一つひとつについて詳細な分析を実施する方法（詳細リスク分析）
4. ベースラインアプローチと詳細リスク分析を組み合わせる方法（組み合わせアプローチ）

これらの手法については、ＩＳＭＳユーザーズガイド－リスクマネジメント編「補章２ ＧＭＩＴＳにおけるリスク分析の手法」に解説がある。特長を理解して、最適な手法を選択する。

＜＜リスクアセスメント＞＞

ISO/IEC 27001：2013「6.1.2 情報セキュリティリスクアセスメント」では、

「組織は、次の事項を行う、情報セキュリティリスクアセスメントのプロセスを定め、適用しなければならない。
a）・・ｂ）・・ｃ）・・ｄ）・・ｅ）・・
とあり、a）ではリスク基準（リスク受容基準、情報セキュリティリスクアセスメントを実施するための基準）を確立し維持する」ことを要求しています。

リスク基準とは

ここでリスク基準とは、組織の価値観、目的及び資源を反映し、情報セキュリティ目的、組織の 外部状況及び内部状況に基づき、情報セキュリティ要求事項、関連する法規制からの要 求事項及び契約上の義務、並びに情報セキュリティ方針等から導き出されるものです。

リスク基準は、1 つではなく、導き出された複数の基準を組み合わせて考慮することが 望まれます。

またリスク基準は、少なくとも次の要素を考慮して定めることが望まれます。

• リスクの原因及び発生し得る結果の特質及び種類、並びにこれらを測定する方法
• リスクの起こりやすさをどのように定めるか
• リスクの起こりやすさ及び／又はその発生する結果を考える時間枠
• リスクレベルをどのように決定するか
• 利害関係者の見解
• リスクが受容可能になるレベル（リスク受容基準）
• 複数のリスクの組合せを考慮に入れるのが望ましいか、また、考慮に入れる場合 の組合せ

リスク受容基準とは

リスク受容基準とは、リスクを受容するかどうかの判断基準のことです。リスク受容については、JIS Q 27000 では、以下のように定義されています。
リスク受容の意思決定は、リスク所有者により行われます。リスク所有者とは、リスクに対する責任及び権限を負う組織あるいは管理者のことです。情報及び情報に関連する資産の管理責任者（オーナ：owner）の多くは、リスク所有者でもあります。

情報セキュリティリスクアセスメントを実施するための基準とは

情報セキュリティリスクアセスメントを実施するための基準として、リスクアセスメントを実施する要件である、その実施条件、計画、契機、時期、タイミング、及び頻度などを規定しておくことが求められます。
8.2 の情報セキュリティリスクアセスメントは、 このリスク基準に基づいて実施されるものです。

リスク（risk） とは

JIS Q 27000 で、リスク（risk） とは「目的に対する不確かさの影響。」と定義されています。

1. 影響とは，期待されていることから，好ましい方向又は好ましくない方向にかい（乖） 離することをいう。
2. 不確かさとは，事象，その結果又はその起こりやすさに関する，情報，理解又は知識が，たとえ部分的にでも欠落している状態をいう。
3. リスクは，起こり得る事象，結果又はこれらの組合せについて述べることによって，その特徴を記述することが多い。
4. リスクは，ある事象（周辺状況の変化を含む。）の結果とその発生の起こり易さとの組合せとして表現されることが多い。
5. ISMS の文脈においては，情報セキュリティリスクは，情報セキュリティ目的に対する不 確かさの影響として表現することがある。
6. 情報セキュリティリスクは，脅威が情報資産のぜい弱性又は情報資産 グループのぜい弱性に付け込み，その結果，組織に損害を与える可能性に伴って生じる。

リスクアセスメントに必要な手順の文書化

リスクアセスメントには、作業を実施するために必要な手順が文書化されている必要があります。

• リスクアセスメントの定義
• リスクアセスメントの目的
• リスクアセスメントの方法

また、上記の「リスクアセスメントの方法」には、リスクに関する判断の基準（リスク 基準）が含まれます。リスク基準については、ユーザーズガイドなどの解説を参照して構築し、運用します。

これらの文書策定は、繰り返し実施する情報セキュリティリスクアセスメントが、一貫性及び妥当性があり、かつ、比較可能な結果を生み出すことを確実にするために行う必要があります。このことは、仮にリスクアセスメントの方法を変更した場合でも、その変更を管理し、必要に応じてリスクアセスメントの結果の比較が可能な状態にしておく ことを含みます。

情報資産とは

情報資産の例としては、次のようなものがあります。

情報資産（紙媒体）	見積書、契約書など
情報資産（電子媒体）	ＣＤ、 ＭＯ（持ち運び可能な記憶媒体）など
情報資産（システム）	顧客 ＤＢ（サーバや ＰＣ内に格納される電子情報）など
ソフトウェア資産	ＤＴＰソフト、文書作成ソフト、表計算ソフトなど
ハードウェア資産	ＰＣ筐体、サーバ、ルータなど
サービス	清掃サービス、ペンディングサービス、ASPサービスなど
要員	サーバルームオペレータ、個人情報入力オペレータなど

ISMS付属書Aの詳細管理策

2005年版の詳細管理策は、以下のようにA.5からA.15まで11の領域／分類（管理目的：39個、管理策：133個）がありました。
これらの詳細管理策を採用するか否かを適用宣言書で明確に記述するようになっていました。

ISO27001:2005 管理策

A.5 セキュリティ基本方針

A.6 情報セキュリティのための組織

A.7 資産の管理

A.8 人的資源のセキュリティ

A.9 物理的及び環境的セキュリティ

A.10 通信及び運用管理

A.11 アクセス制御

A.12 情報システムの取得、開発及び保守

A.13 情報セキュリティインシデントの管理

A.14 事業継続管理

A.15 コンプライアンス

これが2013年版では、管理策の数が、2005 年の 133 から 114 になりました。（下記）

ISO27001:2013 管理策

A.5 セキュリティ基本方針

A.6 情報セキュリティのための組織

A.7 人的資源セキュリティ

A.8 資産管理

A.9 アクセス制御

A.10 暗号化

A.11 物理的及び環境的セキュリティ

A.12 運用管理

A.13 通信のセキュリティ

A.14 システムの取得、開発及び保守

A.15 供給者管理

A.16 情報セキュリティインシデント管理

A.17 事業継続管理規の情報セキュリティの側面

A.18 順守

これからシステム構築をされる組織は事前のチェックとして、次のチェックをしてみるとよいでしょう。

• 物理的・環境的側面のチェック（出入口やパーティションなど）
• オフィスセキュリティ面でのセキュリテイゾーンのチェック（オフィスレイアウト図）
• ネットワーク環境のチェック（ネットワーク図）
• 情報管理に関するコンプライアンス上のチェック（ソフトウェアライセンスなど）
• 新規システム構築または更新の検討
• 関連する過去のセキュリティ事件・事故
• セキュリティ組織の編成
• システム導入・運用

　システム導入運用にあたり社員教育を実施する。初回構築時におけるＰＤＣＡの運用であるＤｏは、初めての取り組みとなるため、開始時は特に「試行」的な運用として、試行錯誤を繰り返しながらシステム運用を確立していくことになる。そのため、取得期限などを加味しながらも出来る限り長い期間を取って、定められた規則や手続きに従い、各人の役割を確かめながら進めていくことが肝要となる。
次にISO27001規格に基づき、運用状況を点検、評価する内部監査を実施する。内部監査において指摘された事項、日々の事件・事故報告、また情報セキュリティに関する利害関係者からの報告事項などをもとに是正処置及び予防処置を実施する。
内部監査結果などのインプット情報を収集してマネジメントレビューを実施する。

情報セキュリティマネジメントシステム実践のポイント

• その組織にあったリスク評価を行い、現状に合った対策を実施する。
• 適切なリスク対策の策定と実践。
• 啓発・教育・訓練で、従業員意識の維持／向上を図る。

製造業、医療情報処理業におけるISO27001・情報セキュリティマネジメントシステム

製造業、医療情報処理業におけるISO27001・情報セキュリティ、ISMSは下記をクリックください。

• 製造業 ISO27001
• 医療情報処理業 ISO27001

ISO27001システム構築で参考となる資料

• JIS Q 27000:2014　（有料）日本規格協会か書店で購入　　H26.3.20 新JIS規格の発売が開始されました。
• JIS Q 27001:2014　（有料）　　　　　〃
• JIS Q 27002:2014　（有料）　　　　　〃

• ISMS適合性評価制度の概要（無料）JIPDECのホームページで入手
• IＳＭＳユーザーズガイド－リスクマネジメント編（無料）同上
• 外部委託における ISMS適合性評価制度の活用方法（無料）同上
• ISMS構築事例集（無料）同上

ISMSの新規認証取得、保守・改善支援のコンサルティングはお任せ下さい。

タテックス有限会社では、既にISOを認証取得している企業様のシステム改善支援コンサルティング、数年毎に行われる新規格への移行支援コンサルティング、並びに新規に認証取得しようとする企業様への認証取得コンサルティング、内部監査員新規養成研修、内部監査員レベルアップ研修、事務局運用支援サービス、自己適合宣言サービスなどを行っております。
ご相談、お申し込みはお気軽にお問合せください。

ニーズで選べる支援内容

• お客様のニーズにもとづき、ISO取得や改善に必要なサービス内容、工数等を設定できます。お気軽にお問合せください。
• 既にシステム運用をしていて、改善したいのだが。。。といった改善のご相談もお気軽にお問合せください。
• 現在、ISO27001の情報セキュリティマニュアルの改良のための書き換えサービスを実施しております。
• サービス内容はお客様との相談により対応しております。お気軽にお問合せください。
• ISO事務局の運用支援・業務代行もご相談のうえサービス提供しております。お気軽にお問合せください。

ご相談・御見積り等は信頼と実績のタテックスまでお問合せください。

お問合せは、ここをクリック~
　　↓

''お問合せ''

~
~
~
~

---

~
~