ITパスポート対策
リスクマネジメント
技術で守るだけでは情報は守れません。組織として方針を決め、点検し、改善し続ける必要があります。試験ではリスク対応の4分類とISMSの位置づけが繰り返し問われます。
ISMSとPDCA
ISMS（情報セキュリティマネジメントシステム）は、組織が情報セキュリティを継続的に管理する仕組みです。特定の製品や技術ではなく、方針と手順と体制を指します。「ISMSとは不正侵入を検知するソフトウェアである」とした選択肢は誤りです。
| 段階 | やること |
|---|---|
| Plan | 方針を定め、リスクアセスメントを行い、対策を計画する |
| Do | 対策を導入し、運用し、従業員に教育する |
| Check | 監視、測定、内部監査で有効かどうかを点検する |
| Act | 見つかった問題を是正し、次の計画に反映する |
要求事項を定めた規格がJIS Q 27001（国際規格ISO/IEC 27001に対応）で、第三者機関の審査に合格するとISMS適合性評価制度の認証を受けられます。認証を受けるのは組織や事業所であって、個々の製品ではありません。 なお、具体的な管理策の実践規範を示すのがJIS Q 27002で、27001が要求事項、27002が実践のための指針という役割分担です。
情報セキュリティポリシ
組織の方針を文書にしたものが情報セキュリティポリシで、ふつう3階層で構成されます。
| 階層 | 内容 | 性格 |
|---|---|---|
| 基本方針 | なぜ守るのか、経営者としての宣言 | 変えにくい、公開されることもある |
| 対策基準 | 何を守るか、守るべき基準 | 部門横断の規程 |
| 実施手順 | どう守るか、具体的な作業手順 | 現場ごと、頻繁に見直す |
基本方針は経営者が承認し、組織全体に周知します。「情報システム部門が作って部門内だけで共有する」という選択肢は誤りです。全従業員が対象であり、経営層の関与が前提になります。
リスクアセスメントとリスク対応の4分類
リスクアセスメントは、リスク特定・リスク分析・リスク評価の3段階で進みます。リスクを洗い出し、起こりやすさと影響の大きさを見積もり、対応が必要かを基準に照らして判断する流れです。
その結果を受けて行うのがリスク対応で、次の4つに分類されます。毎回のように出るので、具体例ごと覚えてください。
| 分類 | 考え方 | 具体例 |
|---|---|---|
| リスク回避 | 原因となる活動そのものをやめる | 事故が多発するサービスを廃止する、個人情報の収集をやめる |
| リスク低減 | 対策を打って、起こりやすさや影響を小さくする | データを暗号化する、修正プログラムを適用する、社員教育を行う |
| リスク移転（共有） | 損失の負担を他者に移す | サイバー保険に加入する、業務を専門業者に委託する |
| リスク受容（保有） | 対策せず、そのまま受け入れる | 影響が小さく、対策費用のほうが高くつく場合に何もしない |
保険への加入は移転であって低減ではありません。 暗号化は、漏えいしても内容を読まれないようにする対策なので低減です。そしてリスク受容は「気づかずに放置している」ことではなく、評価したうえで意図的に受け入れる判断である点が重要です。また、対策を打った後に残っているリスクを残留リスクと呼びます。リスクをゼロにはできないというのが試験の立場です。
インシデント対応、CSIRT、BCP
情報セキュリティインシデントとは、情報漏えいやマルウェア感染など実際に起きた事象です。備えて設置する専門チームがCSIRT（シーサート）で、事故の受付、原因の調査、対応の指揮、再発防止を担います。平常時の監視や訓練も役割に含まれ、事故が起きてから作る組織ではありません。 組織を越えた枠組みには、標的型攻撃の情報を共有するJ-CSIP、重要インフラを支援するJ-CRAT、国内の窓口となるJPCERT/CCがあります。
BCP（事業継続計画）は、災害や大規模障害が起きても重要な業務を止めない、あるいは早く復旧させるための計画です。
| 用語 | 意味 |
|---|---|
| RTO（目標復旧時間） | いつまでに復旧させるか |
| RPO（目標復旧時点） | どの時点のデータまで戻せればよいか |
BCPは情報システムだけでなく、要員、拠点、取引先を含む事業全体の計画です。訓練と見直しを続ける取り組み全体をBCM（事業継続管理）と呼びます。「BCPはシステムのバックアップ手順書のことである」とした選択肢は誤りです。
