リスクマネジメント｜基礎を学ぶ

技術で守るだけでは情報は守れません。組織として方針を決め、点検し、改善し続ける必要があります。試験ではリスク対応の4分類とISMSの位置づけが繰り返し問われます。

ISMSとPDCA

ISMS（情報セキュリティマネジメントシステム）は、組織が情報セキュリティを継続的に管理する仕組みです。特定の製品や技術ではなく、方針と手順と体制を指します。「ISMSとは不正侵入を検知するソフトウェアである」とした選択肢は誤りです。

段階	やること
Plan	方針を定め、リスクアセスメントを行い、対策を計画する
Do	対策を導入し、運用し、従業員に教育する
Check	監視、測定、内部監査で有効かどうかを点検する
Act	見つかった問題を是正し、次の計画に反映する

要求事項を定めた規格がJIS Q 27001（国際規格ISO/IEC 27001に対応）で、第三者機関の審査に合格するとISMS適合性評価制度の認証を受けられます。認証を受けるのは組織や事業所であって、個々の製品ではありません。 なお、具体的な管理策の実践規範を示すのがJIS Q 27002で、27001が要求事項、27002が実践のための指針という役割分担です。

情報セキュリティポリシ

組織の方針を文書にしたものが情報セキュリティポリシで、ふつう3階層で構成されます。

階層	内容	性格
基本方針	なぜ守るのか、経営者としての宣言	変えにくい、公開されることもある
対策基準	何を守るか、守るべき基準	部門横断の規程
実施手順	どう守るか、具体的な作業手順	現場ごと、頻繁に見直す

基本方針は経営者が承認し、組織全体に周知します。「情報システム部門が作って部門内だけで共有する」という選択肢は誤りです。全従業員が対象であり、経営層の関与が前提になります。

リスクアセスメントとリスク対応の4分類

リスクアセスメントは、リスク特定・リスク分析・リスク評価の3段階で進みます。リスクを洗い出し、起こりやすさと影響の大きさを見積もり、対応が必要かを基準に照らして判断する流れです。

その結果を受けて行うのがリスク対応で、次の4つに分類されます。毎回のように出るので、具体例ごと覚えてください。

分類	考え方	具体例
リスク回避	原因となる活動そのものをやめる	事故が多発するサービスを廃止する、個人情報の収集をやめる
リスク低減	対策を打って、起こりやすさや影響を小さくする	データを暗号化する、修正プログラムを適用する、社員教育を行う
リスク移転（共有）	損失の負担を他者に移す	サイバー保険に加入する、業務を専門業者に委託する
リスク受容（保有）	対策せず、そのまま受け入れる	影響が小さく、対策費用のほうが高くつく場合に何もしない

保険への加入は移転であって低減ではありません。 暗号化は、漏えいしても内容を読まれないようにする対策なので低減です。そしてリスク受容は「気づかずに放置している」ことではなく、評価したうえで意図的に受け入れる判断である点が重要です。また、対策を打った後に残っているリスクを残留リスクと呼びます。リスクをゼロにはできないというのが試験の立場です。

インシデント対応、CSIRT、BCP

情報セキュリティインシデントとは、情報漏えいやマルウェア感染など実際に起きた事象です。備えて設置する専門チームがCSIRT（シーサート）で、事故の受付、原因の調査、対応の指揮、再発防止を担います。平常時の監視や訓練も役割に含まれ、事故が起きてから作る組織ではありません。 組織を越えた枠組みには、標的型攻撃の情報を共有するJ-CSIP、重要インフラを支援するJ-CRAT、国内の窓口となるJPCERT/CCがあります。

BCP（事業継続計画）は、災害や大規模障害が起きても重要な業務を止めない、あるいは早く復旧させるための計画です。

用語	意味
RTO（目標復旧時間）	いつまでに復旧させるか
RPO（目標復旧時点）	どの時点のデータまで戻せればよいか

BCPは情報システムだけでなく、要員、拠点、取引先を含む事業全体の計画です。訓練と見直しを続ける取り組み全体をBCM（事業継続管理）と呼びます。「BCPはシステムのバックアップ手順書のことである」とした選択肢は誤りです。