情報セキュリティ管理基準 (ジョウホウセキュリティカンリキジュン) とは | 意味や読み方など丁寧でわかりやすい用語解説

情報セキュリティ管理基準 (ジョウホウセキュリティカンリキジュン) の読み方

日本語表記

情報セキュリティ管理基準 (ジョウホウセキュリティカンリキジュン)

英語表記

Information Security Management Standards (インフォメーション セキュリティ マネジメント スタンダーズ)

情報セキュリティ管理基準 (ジョウホウセキュリティカンリキジュン) の意味や用語解説

情報セキュリティ管理基準は、経済産業省が策定した、企業や組織が情報セキュリティ対策を総合的かつ体系的に実施するための指針である。これは、組織が保有する情報資産を、機密性、完全性、可用性の観点から様々な脅威から保護し、事業活動を安定的に継続させることを目的としている。サイバー攻撃の手法が日々高度化し、内部関係者による情報漏洩のリスクも無視できない現代において、場当たり的な対策だけでは十分なセキュリティレベルを確保することは困難である。そこで、どのような組織であっても参照できる、網羅的で実践的なセキュリティ対策の「手本」としてこの基準が定められた。特に、情報セキュリティマネジメントシステム（ISMS）の認証基準であるJIS Q 27001（ISO/IEC 27001）を組織が構築・運用する際に、具体的にどのような管理策を講じるべきかの詳細なガイドラインとして活用されることが多い。システムエンジニアを目指す者にとって、この基準は、自分が関わるシステムのセキュリティを確保するための基本的な考え方や具体的な対策項目を理解する上で、極めて重要な知識基盤となる。 情報セキュリティ管理基準は、大きく分けて「マネジメント基準」と「管理策基準」の二つの要素で構成されている。この二つは、組織の経営層から現場担当者まで、それぞれの立場で情報セキュリティに取り組むための役割を定義している。まず「マネジメント基準」は、組織のトップマネジメント、つまり経営層が主導して行うべき情報セキュリティに関する組織的な取り組みの枠組みを定めたものである。これは、情報セキュリティを技術的な問題としてだけでなく、経営課題として捉えることを要求している。具体的な活動は、計画（Plan）、実行（Do）、評価（Check）、改善（Act）からなるPDCAサイクルに基づいており、継続的なセキュリティレベルの向上を目指す。計画段階では、組織として情報セキュリティをどのように位置づけるかを明確にした「情報セキュリティ方針」を策定し、全従業員に周知徹底する。また、組織が保有する情報資産を洗い出し、それらに対する脅威や脆弱性を分析・評価してリスクの大きさを特定するリスクアセスメントを実施する。実行段階では、策定した方針に基づき、情報セキュリティを推進するための体制を構築し、各部門や担当者の役割と責任を明確にする。そして、リスクアセスメントの結果に基づいて決定した対策を導入し、運用する。評価段階では、導入した対策が計画通りに機能しているか、新たな脅威は発生していないかを監視し、定期的に監査を行う。最後の改善段階では、評価の結果明らかになった課題や問題点を是正し、方針や体制、対策そのものを見直すことで、セキュリティマネジメントの仕組み全体を継続的に改善していく。次に「管理策基準」は、マネジメント基準で定められた方針や計画に基づき、現場レベルで具体的に実施すべき情報セキュリティ対策を詳細にまとめたものである。これは、組織が直面する様々なリスクに対応するための具体的な対策のカタログと考えることができる。管理策は、組織的、人的、物理的、技術的といった複数の観点から分類されている。組織的対策には、情報セキュリティ体制の確立、情報資産の適切な分類と管理ルールの策定、外部委託先の管理などが含まれる。人的対策は、従業員に対するセキュリティ教育や訓練の実施、入社時の秘密保持契約の締結、退職者のアクセス権限の速やかな削除といった、人を介したリスクを低減するための対策を指す。物理的対策は、サーバールームやデータセンターへの入退室管理、重要な機器の盗難防止策、書類や記憶媒体の施錠保管、作業スペースを離れる際にPCをロックするクリアスクリーン方針など、物理的な資産を保護するための対策である。そして技術的対策は、システムエンジニアが最も深く関わる領域であり、利用者認証やアクセス制御による不正アクセスの防止、ウイルス対策ソフトの導入、通信データや保存データの暗号化、定期的なデータバックアップの取得、システムの操作ログの取得と監視、脆弱性診断とセキュリティパッチの適用などが該当する。組織は、これらの多岐にわたる管理策の中から、自らのリスクアセスメントの結果に基づき、必要かつ適切なものを選択して導入することが求められる。この基準を理解することは、システムエンジニアが安全なシステムを設計、構築、運用していく上で不可欠な羅針盤となるのである。