組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）とは？

組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）の意味

ISMSは組織が情報セキュリティを継続的に維持・改善する管理の仕組み（PDCAサイクル）。リスクアセスメントは、情報資産への脅威・脆弱性を洗い出しリスクの大きさを評価し対策の優先順位を決めるプロセス。応用情報ではこの基礎の上に、CSIRTによるインシデント対応やデジタルフォレンジックといった実践的な活動が問われる。

組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）の具体例

リスクアセスメントで「顧客データベースへの不正アクセス」のリスクを高く評価した組織は、ISMSの枠組みの中でその対策を優先的に整備・運用する。

組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）は試験でどう引っ掛けられる？

リスク対応の4分類が入れ替えられやすい。対策を講じて発生確率や影響を下げるのが低減、保険や外部委託で他者に移すのが移転（共有）、事業そのものをやめて原因を断つのが回避、影響が小さいと判断して何もしないのが受容（保有）。保険をかけるのは回避ではなく移転。また脅威と脆弱性は別物で、リスクは資産・脅威・脆弱性がそろって初めて成立する——脆弱性があっても脅威が存在しなければリスクは顕在化しない。ISMSが目指すのはリスクをゼロにすることではなく、受容できる水準まで下げて管理し続けることである点も要注意。

組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）と関連する用語

• インシデント対応とCSIRT
• 情報セキュリティポリシーと三層構造

組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）が出た過去問

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。

  正解：企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの

  要点：経営ガイドラインは3原則と重要10項目で経営者の関与を促す

  サイバーセキュリティ経営ガイドラインは、経営者向けに、セキュリティを経営課題として認識するための3原則と、CISOなど対策の責任者に指示すべき重要10項目を示したものである。技術者向けの手引ではなく、経営層の関与を促すことに主眼がある。ISMS規格やCOBIT、サイバーセキュリティ基本法とは位置付けが異なる。

  出典：平成29年度 春期 高度共通_午前I試験 am1 問14（IPA）

• JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。

  正解：リスク特定、リスク分析、リスク評価

  要点：リスクアセスメント＝特定・分析・評価の3プロセス

  JIS Q 31000では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスで構成される。リスク対応はアセスメントの結果を受けて実施する後続のプロセスであり、アセスメントには含まれない。

  出典：令和4年度 秋期 高度共通_午前I試験 am1 問13（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…

  正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。

  要点：リスク受容基準はアセスメントより先に定めておく

  リスク受容基準は、どの程度のリスクなら受け入れるかを判断するものさしなので、リスクアセスメントを行う前に定めておかなければならない。アセスメントの後に基準を決めると、結果に合わせて基準を作ることになり、評価の客観性が損なわれる。これは要求事項からの逸脱であり、指摘事項として報告すべき状況である。

  出典：令和4年度 秋期 高度共通_午前I試験 am1 問21（IPA）