情報セキュリティ管理｜エンベデッドシステムスペシャリスト試験

方針を決めて周知し、見直し続ける組織の仕組み

情報セキュリティ管理は、技術的な対策を入れるだけでなく、組織として方針を定め、体制を整え、継続的に見直していく活動です。その仕組みを組織に組み込んだものがISMSで、計画、実行、点検、改善を繰り返して水準を保ち、高めていきます。

中心になるのが情報セキュリティ基本方針です。情報セキュリティについての経営陣の方向性と支持を示す最上位の文書で、機密として隠すものではなく、従業員や関係者に周知して共有します。事業環境や技術が変われば見直します。個々のシステムの対策や運用の細かな手順は、基本方針の下に置く対策基準や実施手順で定めます。誰の意思を示すか、誰に向けるか、どの程度の詳しさで書くかで、文書の階層を区別します。ISMS適合性評価制度の認証基準はJIS Q 27001で、現在は2023年の改正版が使われています。

組織の外にも、社会全体のセキュリティを支える取組があります。NOTICEは、総務省、情報通信研究機構（NICT）、インターネットサービスプロバイダが連携して2019年2月に始めた、IoT機器の対策の取組です。NICTが国内のグローバルIPアドレスをもつIoT機器を調べ、容易に推測されるパスワードなどのためにサイバー攻撃に悪用されるおそれのある機器を特定し、プロバイダを通じて機器の利用者に注意を促します。

こうした取組や体制を見分けるときは、誰が、何を対象に調べ、結果を誰に知らせるのかの三点を確かめます。組織の内側では、インシデントに対応するチームとしてCSIRTを置き、自社製品の脆弱性に対応するチームとしてPSIRTを置く例もあります。