前回は、情報セキュリティポリシーの最上位に位置する「情報セキュリティ基本方針」について確認した。今回は、その基本方針を具体化する第2階層「情報セキュリティ対策基準」を取り上げる。
対策基準は基本方針と実施手順をつなぐ「橋渡し」
情報セキュリティ対策基準は、抽象的な情報セキュリティ基本方針の内容を、より具体的な規程・ルールとして落とし込んだ文書である。3階層構造の中では、基本方針（What：何を目指すか）と実施手順（How：どう実行するか）の間をつなぐ「橋渡し」の役割を果たす。
対策基準は、通常、テーマ・領域ごとに個別の規程として整備される。代表的な例としては、次のようなものが挙げられる。
- パスワード管理基準（パスワードの文字数、有効期限、変更ルールなど）
- アクセス制御基準（アクセス権限の付与・見直しのルール）
- 情報資産の分類・取扱基準（機密区分ごとの取り扱いルール）
- ウイルス対策基準
- 物理的セキュリティ基準（入退室管理、施錠ルールなど）
- 委託先管理基準（外部委託先に求めるセキュリティ水準）
誰が策定し、誰が読むのか
基本方針が経営陣の宣言であるのに対し、対策基準は、情報セキュリティ委員会や情報システム部門など、組織の管理者層が中心となって策定することが一般的である。
読み手としても、経営陣というよりは、各部門の管理者や、実施手順を作成する立場の担当者が主な対象となる。
対策基準は、基本方針と比べると具体性が増すものの、依然として「何を、どのレベルで管理すべきか」というルールを定めるレベルにとどまり、個々の作業の操作手順そのものまでは記載しない。その先の具体的な作業手順は、次階層の「実施手順」に委ねられる。
非公開が原則
対策基準には、パスワードポリシーやアクセス制御の具体的なルールなど、攻撃者にとって有用な情報が含まれ得る。そのため、対策基準は社内文書として非公開で管理されるのが原則である。基本方針が対外公表されることが多いのとは対照的な点として、試験でも問われやすい。
試験対策のポイント
- 対策基準は、基本方針を具体化し、実施手順へつなぐ中間階層である
- 策定の中心は管理者層（情報セキュリティ委員会・情報システム部門など）
- テーマ・領域ごとに複数の規程として整備されることが多い
- 具体的な操作手順そのものではなく、遵守すべきルール・基準を定める文書である
- 原則として非公開の社内文書である
次回は、対策基準をさらに具体化した、現場向けの「情報セキュリティ対策実施手順」について解説する。
コメント