ゆめさくコード

情報セキュリティマネジメント

luagate/isms-introISMS入門23 枚セキュリティ
スライド103触れる図解124レッスンの導入6

上から下へ、全 23 枚そのまま並べています。

発表モードで開く

ISMS入門

情報セキュリティマネジメント

組織で守る 〜技術だけでは足りない〜

1
1

目次

今日の流れ

1. 技術だけでは守れない

2. CIA 情報セキュリティの3要素

3. ISMS と PDCA

4. リスクアセスメントと対応

5. まとめと振り返り

2
2
ISMS入門 - イントロ

今日のゴール

この時間で身につけてほしいことです。

  • 技術だけでは守りきれないと分かる
  • CIA（機密性・完全性・可用性）を説明できる
  • ISMSという仕組みの目的が分かる
  • PDCAで回す考え方をイメージできる
  • リスクアセスメントと4つの対応を知る
10
3
ISMS入門 - イントロ

技術だけでは守れない

どんなに優れた仕組みを入れても、使う人や運用に隙があれば守りは崩れます。組織ぐるみの取り組みが要ります。

  • 最新の機器を入れても運用が甘いと意味がない
  • パスワードを付箋に貼れば技術は無力になる
  • 人の油断や手順の不備が一番の隙になる
  • ルールと教育で人の行動も整える必要がある
  • 技術・人・運用をまとめて考えるのがISMS
11
4
ISMS入門 - イントロ

CIA 情報セキュリティの3要素

情報を守るとは、具体的に何を守ることなのか。3つの観点で整理します。

CIA（機密性・完全性・可用性）

情報セキュリティが守るべき3つの柱。機密性（見せていい人だけが見られる）、完全性（内容が正しく保たれる）、可用性（必要なときに使える）。3つの頭文字でCIAと呼ぶ。

・機密性は許された人だけが見られること

・完全性は内容が正しく保たれること

・可用性は必要なときに使えること

・3つの頭文字をとってCIAと呼ぶ

・どれか1つ欠けても安全とはいえない

12
5
ISMS入門 - イントロ

CIA それぞれの守りたいこと

3つの要素は、それぞれ違う脅威から情報を守ります。具体例で見てみましょう。

機密性
  • 見せていい人だけに見せる
  • 漏えいや盗み見を防ぐ
完全性
  • 内容を正しく保つ
  • 改ざんや書き換えを防ぐ
可用性
  • 使いたいときに使える
  • 停止やダウンを防ぐ
13
6

ISMS入門 - 仕組み

2

第2部 ISMSとPDCA

仕組みとして回す

20
7
ISMS入門 - 仕組み

ISMS とは

情報セキュリティを、思いつきでなく「仕組み」として組織で回す枠組みです。

ISMS（Information Security Management System / 情報セキュリティマネジメントシステム）

組織として情報をどう守るかをルール化し、決めて・実行して・点検して・改善する、を繰り返す枠組み。担当者まかせにせず、組織ぐるみで継続的に守るための仕組み。

・情報の守り方を組織でルール化する

・担当者まかせにしない

・決める・実行する・点検する・改善する

・継続的に回し続けることが前提

・技術と人と運用をまとめて扱う

21
8
ISMS入門 - 仕組み

PDCAで回す

ISMSは、4つのステップをぐるぐる回して少しずつ良くしていきます。

1. Plan 計画

守る方針とルールを決める

2. Do 実行

決めた対策を実際に行う

3. Check 点検

うまくいっているか確かめる

4. Act 改善

問題を直して次の計画へ

22
9
ISMS入門 - 仕組み

情報資産の洗い出し

守る前に、まず「何を守るのか」をはっきりさせます。守る対象を見える化する手順です。

どんな情報を持っているか書き出す
それぞれの重要度を見極める
誰が・どこで扱うかを整理する
守るべき優先順位を決める
一覧（台帳）にして管理する
23
10

ISMS入門 - リスク

3

第3部 リスクアセスメント

危険を見積もり、対応を選ぶ

30
11
ISMS入門 - リスク

リスクアセスメント とは

どんな危険が、どれくらいの大きさであるかを見積もる作業です。

リスクアセスメント（Risk Assessment）

情報資産にどんな脅威があり、どれくらいの確率で・どれくらいの被害になるかを見積もる作業。やみくもに対策せず、危ないところから手を打つための土台になる。

・どんな脅威があるかを洗い出す

・起こりやすさと被害の大きさを見積もる

・危険の大きいものから優先する

・限られた予算を有効に使える

・対応方針を決める土台になる

31
12
ISMS入門 - リスク

4つのリスク対応

見積もった危険に対して、取れる打ち手は大きく4種類です。状況に応じて使い分けます。

リスクへの対応
回避
危険な活動をやめる
そもそも持たない
低減
対策で被害を小さくする
起こりにくくする
移転
保険などで肩代わり
外部に任せる
受容
小さい危険は受け入れる
あえて対策しない
32
13
ISMS入門 - リスク

4つの対応の使いどころ

危険の大きさや性質によって、選ぶ対応が変わります。代表的な使いどころで整理します。

どんなとき
具体例

回避

危険が大きすぎる

そのサービスをやめる

低減

対策で減らせる

暗号化や教育を行う

移転

自分で抱えきれない

保険や外部委託にする

受容

危険がとても小さい

対策せず受け入れる

33
14

ISMS入門 - 運用

4

第4部 ポリシーと人と基準

組織で守りを支える

40
15
ISMS入門 - 運用

セキュリティポリシー

組織の守り方を文章にまとめたものがポリシーです。みんなが同じ方針で動くための土台になります。

方針を示す
  • 守りの基本姿勢を宣言
  • 経営の意思を表す
ルールを定める
  • やること・やらないことを明文化
  • 判断の基準になる
全員で守る
  • 全社員が従う
  • 例外を作らない
41
16
ISMS入門 - 運用

人的対策の大切さ

仕組みやルールを作っても、人が知らなければ守れません。教育と意識づけが守りの最後の要になります。

  • 多くの事故は人の不注意から起きる
  • 定期的な教育で意識を高める
  • 怪しいメールを開かない習慣をつける
  • パスワードや持ち出しのルールを徹底する
  • 一人ひとりが守りの一部だと自覚する
42
17
ISMS入門 - 運用

ISO/IEC 27001

ISMSをきちんと運用していることを示す、国際的な基準です。

ISO/IEC 27001

ISMSの国際規格。この基準に沿って情報を守る仕組みを作り、運用していると認められると、第三者の認証を受けられる。取引先からの信頼の証にもなる。

・ISMSの国際的な基準

・この基準に沿って仕組みを作る

・第三者による認証を受けられる

・取引先への信頼の証になる

・継続的な運用が前提になる

43
18
ISMS入門 - 運用

事故の原因の内訳（イメージ）

情報事故は技術的な攻撃だけでなく、人のミスも大きな割合を占めます。あくまでイメージです。

50 割合(イメージ)403020100
50割合(イメージ)
35割合(イメージ)
15割合(イメージ)
人のミス・油断
外部からの攻撃
その他

出典: 事故原因の傾向を示す概念図（概算）

44
19
ISMS入門 - まとめ
クイズ

振り返りクイズ

今日の内容を確認しましょう。

情報セキュリティの3要素（CIA）に含まれないものはどれ？

A
機密性
B
完全性
C
可用性
D
収益性
50
20
ISMS入門 - まとめ
答え

振り返りクイズ 解答

情報セキュリティの3要素（CIA）に含まれないものはどれ？

A
機密性
B
完全性
C
可用性
D
収益性

CIAの3要素は機密性・完全性・可用性です。収益性は含まれません。機密性は見せていい人だけが見られること、完全性は内容が正しく保たれること、可用性は必要なときに使えることを指します。

51
21
ISMS入門 - まとめ

質疑・次回予告

今日のまとめと、次に学ぶテーマです。質問があればここで受け付けます。

今日のおさらい
  • 守るべきはCIAの3要素
  • ISMSはPDCAで回す
  • 危険を見積もり4つで対応
次回予告
  • ソーシャルエンジニアリング 〜人をだます攻撃〜
  • 技術以外の弱点を突く攻撃を学ぶ
52
22
"

情報は技術だけでは守れない。機密性・完全性・可用性を柱に、ルールと教育を組織で回し続ける。守りを「仕組み」にして、人も運用も含めて支えることが、本当の意味でのセキュリティになる。

— ISMS入門

53
23