ISMS

読み：あいえすえむえす　／　英語表記：Information Security Management System

組織が情報セキュリティの方針や目標を定め、リスクに応じた対策を運用し、継続的に改善する仕組み。満たすべき条件を定める規格と、対策の実施を助ける指針の規格を区別する。

イマシルちゃんの解説

大切な資料を守るには、丈夫な鍵を付けるだけでは足りないね。
誰が鍵を持つか、なくしたらどうするか、決まりが守られているかも考えるんだ。
実際に使ってみて困ることがあれば、決まりを直していくよ。
道具と人の動きを、一緒に整える仕組みなんだ。

より深い解説

組織として管理する

対象には技術だけでなく、人、組織、物理的な設備、手続も含まれる。情報の機密性、完全性、可用性を、業務の目的に応じて確保する。

製品を一つ導入すれば完成するものではない。適用する範囲を定め、業務の変化に合わせて見直す。

規格の役割

前者はISMSの認証で使われる基準である。後者を読んで対策を実施することと、後者に対してISMS認証を受けることは同じではない。

平成20年度問53は、JIS Q 27002:2006の「情報セキュリティマネジメントの実践のための規範」という当時の位置付けを問う。改訂によって構成や名称が変わるため、古い問題は指定された版に基づいて読む。

必要な対策を選ぶ

一覧にある対策を理由なく全部実施するのではなく、リスク、契約、業務上の必要性などを踏まえて選ぶ。選択理由や実施状況を明確にし、対策後の残留リスクも管理する。

認証があっても、事故が絶対に起きないことを意味しない。決めた仕組みを運用し、欠陥や環境の変化を見つけて対応することが重要である。

製品評価との違い

コモンクライテリアは、IT製品やシステムのセキュリティ機能を評価するための共通の基準であり、ISO/IEC 15408と関係する。対象を定めて評価する製品のセキュリティと、組織の管理体制を混同しない。

また、暗号アルゴリズムの仕様は、データ変換などの技術的な処理を定める。管理体制、製品評価、暗号方式はそれぞれ評価する対象が異なる。

実際の試験ではここに出る！

• テクニカルエンジニア（ネットワーク） 平成20年度 秋期 午前 問53