前回までの5回シリーズでは、マルウェアや標的型攻撃、内部不正といった情報セキュリティの脅威を確認してきた。今回からは新たなシリーズとして、こうした脅威に組織としてどう向き合うかという枠組みである「ISMS（情報セキュリティマネジメントシステム）」を取り上げる。
ISMSとは
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）とは、組織が情報資産を守るために、技術的な対策を単発で導入するのではなく、方針の策定から運用、見直しまでを継続的な仕組みとして回していくための管理の枠組みを指す。
これまでのシリーズで扱ってきた「情報セキュリティポリシー」や「人的・物理的・技術的対策」は、いずれもISMSという大きな枠組みの中に位置づけられる要素である。ISMSは、それらを個別バラバラに実施するのではなく、組織全体のマネジメント活動として体系的に運用していく点に特徴がある。
ISMSが前提とする考え方として重要なのが、情報セキュリティ対策は「一度構築して終わり」ではないという点である。技術の進歩や新たな脅威の出現、組織の変化（人員異動、新規事業の開始など）に応じて、対策は常に見直され続ける必要がある。
この「継続的な見直し」を仕組みとして実現するための手法が、PDCAサイクルである。
PDCAサイクル
PDCAサイクルとは、Plan（計画）・Do（実行）・Check（評価）・Act（改善）という4段階を繰り返すことで、業務や仕組みを継続的に改善していくためのマネジメント手法である。
ISMSは、このPDCAサイクルを情報セキュリティの分野に適用したものと理解するとよい。
Plan（計画）
組織が守るべき情報資産を洗い出し、それらに対するリスクを分析・評価したうえで、情報セキュリティ基本方針や対策基準（以前のシリーズで扱った情報セキュリティポリシーの3階層）を策定する段階である。「何を」「どこまで」「どのように」守るのかという方針を、この段階で定める。
Do（実行）
Plan段階で策定した方針や対策基準に基づき、具体的な対策（人的・物理的・技術的対策）を実際に導入・運用する段階である。従業員への教育の実施、アクセス制御の設定、入退室管理の運用開始などが、この段階に該当する。
Check（評価）
導入した対策が、計画通りに機能しているかを点検・評価する段階である。内部監査の実施、ログの確認、セキュリティ事故の発生状況の確認などを通じて、対策の有効性を検証する。計画と実態にズレがないかを確認することが、この段階の目的である。
Act（改善）
Check段階で明らかになった問題点や課題を踏まえ、方針や対策を見直し、改善する段階である。ここでの改善内容は、次のPlan段階に反映され、再びサイクルが回っていく。
この4段階を一度きりで終わらせず、Act(改善)の結果を次のPlan(計画)に反映させながら繰り返し回し続けることで、組織の情報セキュリティ水準を継続的に高めていく。これがISMSの基本的な運用イメージである。
試験対策のポイント
- ISMSは「個別の技術的対策」ではなく、「組織的なマネジメントの枠組み」である、という位置づけの違いを押さえておこう
- PDCAサイクルの4段階（Plan・Do・Check・Act）それぞれの内容を、具体的な活動例と結びつけて覚えておこう
- 「一度対策を導入したら終わり」ではなく、継続的に見直しを繰り返す点がISMSの本質であることを理解しておこう
- 事例文で「対策を導入した後、内部監査で問題点を洗い出し、改善につなげた」といった記述があれば、Check→Actの流れに対応する事例であると判断できるようにしておこう
まとめ
今回は、ISMSシリーズの第1回として、ISMSの基本的な考え方と、それを支えるPDCAサイクルの4段階を確認した。次回は、ISMSの具体的な拠りどころとなる規格「JIS Q 27001」と「JIS Q 27002」について取り上げる。
（参考）
情報処理推進機構（IPA）試験要綱・シラバス
コメント