)によると登録:2,960、公表:2,820との組織数となっています。ISMSの認証取得に関する参考文書等は、こちらのJIPDECのサイトから入手できます。27001の認証(ISMS適合性評価制度)を取得する上で必要とされるISMS構築から運用までのポイントを要領よくまとめるとともに、必要とされるISMS文書の事例を多数掲載して解説している本を紹介します。ISMSに取り組む際のハードルとされるリスクマネジメントとマネジメントシステムの文書化についてどのように推進すれば良いか。一般に難しいとされる有効性測定、ISMSの事業継続管理などについても丁寧に解説しています。ISMS文書の事例については、本文に加えてこれらをMS-WORD文書のひな形として収録したCD-ROMも添付されていて参考になります。27001に基づく情報セキュリティマネジメントシステム(ISMS)の認証取得に向けての構築と運用の実践ガイド本。本書の「まえがき」でも本書の意図した点について以下のように述べています。ISMSの構築と運用をターゲットに選び、一連の流れをとおして、情報セキュリティのリスクマネジメントの構築とISMSの文書化及びISMSの運用について、その勘所に重点を置いて解説した。具体的なイメージを読者に理解していただくためにコンサルティングで実際に使用する文書例と手順を掲載することにより、すぐに役立つ情報セキュリティマネジメントシステムの構築手引きとして構成した。これによって初心者には難解といわれる規定については、事例を通じて読者の理解を助ける工夫をした。本書:「ISMS構築・認証取得ハンドブック」です。情報セキュリティマネジメントシステムの事例集」との副題が付いています。氏の共著にて、2008年12月に日科技連出版社より「情報セキュリティライブラリ」の一冊として発行されています。ISMS認証取得のパスポート。ISMS文書のモデルを満載!(CD-ROM付)事例でわかる!ISMS構築・認証取得の実践ガイド本書は、ISO/IEC27001の認証(ISMS適合性評価制度)を取得するために必要なポイントを簡潔にまとめるとともに、必要とされるISMS文書の事例を多数掲載しています。これらの事例(モデル)は、CD−ROMにも収録されており、読者がISMSを構築する際の工数低減に役立ちます。一般に難しいとされる「リスクマネジメント」や「有効性の測定」については、丁寧に解説しています。事例を通じて、ISMSの構築の仕方がすぐに分かります。本書は、9章から構成されています。14408などのISMS関連規格、ISMSと個人情報保護、ISMSと内部統制といった制度との関連含めて情報セキュリティの概要を解説しています。プロジェクト管理、規格の理解、教育研修と意識向上プログラムなど、準備・計画段階から認証審査段階に至るポイントについて、筆者のコンサル経験に基づくノウハウや考え方を中心に全体を概観しています。選定、構築スケジュール・構築費用などの各ポイントの検討とISMS基本計画書の作成、経営者の承認までの活動を取り上げ解説しています。現状分析と基本対策、さらにISMSの文書化の取り組みについて解説しています。リスクアセスメント手法、またリスク対応方針の決定からリスク対応計画に至るリスク対応のための実施方法についてフロー図や各種の図表を交えて解説しています。第6章では、「有効性の測定と事業継続管理」として、ISMS全体から管理策の有効性の判定までと事業継続上のリスクアセスメントを含む事業継続管理について基本的な考え方から具体的実施手順までを解説しています。第7章では、「ISMSの運用」として、認証取得がゴールではなくスタートとの観点から最初の運用フェーズについて試行運用であるとの位置づけから解説しています。日常の運用サイクルから内部監査、マネジメントレビューを通したISMSの運用の基本的なマネジメントサイクルの流れを解説しています。手順を中心に関連記録類の作成の事例解説を交えて解説しています。第9章では、「ISMSの認証審査」として、認証審査のついて認証機関の選定から、初回の審査の流れ、初回以降の審査の種類などISMSの認証及び維持の審査はどのようなものかを解説しています。以降は、CD-ROMにもWORD文書として収録されている以下のようなひな形文書の資料集となっています。27001に基づく情報セキュリティマネジメントシステム(ISMS)の認証取得に向けての構築と運用の実践ガイド本としてまとまった内容となっています。ISMSのひな形の文書がすぐに利用できるCD-ROMで提供されていてISMSの構築・実施・改善の活動に役立つ事例も豊富です。27001に基づく情報セキュリティマネジメントシステムの認証取得を考えておられる組織の関係者やすでにISMSの認証を取得されている組織の継続的の活動に関わる関係者には、本書は、身近において活用するハンドブックとしてお奨めです。本書の目次は、以下の内容です。登録:2770組織と伸びているようです。R)について認証されている組織は、大企業が中心で、中小企業まではなかなか浸透していないようです。27001:2005規格認証を行うとなるとそのコストが問題とされています。Rと略)を構築できるようにユニークな以下のようなホップ・ステップ・ジャンプの3段階ステップを通したISMS構築の指針を提示し、解説している本を紹介します。27001ベースのISMSの構築手法、ISMS適合性認証制度による認証取得までをイラストなどの多数の図表を交えて分かり易く解説しています。低コストで実現する情報セキュリティマネジメント」です。情報処理推進機構(IPA)の情報等は、ISMSの教育資料として広く活用されています。本書では、3段飛びのホップの段階でIPAの「情報セキュリティ対策ベンチマーク」を活用してISMSを構築していくという取組を提案しています。基準が2つとなるとダブルスタンダードになり無駄が生じるという懸念がありますが、「情報セキュリティ対策ベンチマーク」は、基準ではなく、組織の情報セキュリティマネジメントシステムの実施状況を、自らが評価する自己診断ツールになります。「情報セキュリティ対策ベンチマーク」は、現在ver3.1となっています。27001:2006とも整合した自己診断ツールとなっています。回答から組織の対策状況のスコアが計算されます。項目に抑え、わかりやすい言葉と表現が用いられています。これを用いて診断すると診断企業は、情報セキュリティリスク指標に応じて、以下の3つのいずれかのグループに分類されるというものになっています。詳しくは、IPAのサイトにてご確認下さい。本書の構成をざっと紹介します。本書は、9章から構成されています。イラストなどの図表が多数挿入されていて分かり易い構成になっています。1から3章がホップの段階に相当します。1章では、「情報セキュリティマネジメントと会社の経営」として、情報セキュリティの格付専門会社が登場したように情報セキュリティの組織の取組の違いが企業格差になる等、いまなぜISMSが必要かといった内容を概観しています。2章では、「ISMSを導入する前に知っておくべきこと」として、情報セキュリティとは何かから始まり、その3要素、ISMSとは、PDCAの基本、本書の展開ステップの概要、ISMS構築コストの見積もり方などを解説しています。導入、点検、ベンチマークの再診断などといったISMSのファーストステップの構築手順を解説しています。4から8章がステップの段階に相当します。27001:2006)に沿ったISMSの更なる高度化のステップになります。27001規格の全体的な概要について解説しています。経営トップの関与の重要性を強調しています。リスクアセスメント」として、基本方針の確認からリスクアセスメントの制定と実施に関して、とくにリスクアセスメントについて、リスク分析からリスク評価の詳細な手順を重点解説しています。順守」のポイントを解説しています。文書化の実際」として、ISO27001に関わる文書化要求と文書化すべきアイテム、作成すべき文書類を明確にし、どのように文書化を進めたら良いかから文書管理の考え方等を解説しています。実施などを解説しています。9章がジャンプの段階に相当します。この段階では、9章:「ISMS適合性評価制度による認証の取得」として、ISMS認証の取得を取り上げ、そのための関連情報を解説しています。<<本書で何が学べるか?>>本書は、中小企業が低コストでISMSを構築できるようにホップ・ステップ・ジャンプの3段階ステップを通したISMS構築について提示し解説しています。「情報セキュリティ対策ベンチマーク」をツールとして有効に活用して、将来、認証へのグレードアップも可能なしっかりとしたISMSを中小企業が低コストで構築できる方法が解説されています。<<まとめ>>情報セキュリティマネジメントシステムを構築するニーズを感じておられる中小企業の経営者から情報セキュリティ担当者の方々、情報セキュリティに関心のあるビジネスパースンには、お薦めの一冊です。本書の概要目次は、以下です。(一方、プライバシーマークの付与を認定された事業者数は、9409社となっています。27001をベースとしながら、特に認証取得にこだわらずに情報セキュリティマネジメントシステムを手軽に構築・運用できるように情報セキュリティマネジメントシステムの構築と運用のポイントを解説している本を紹介します。本書では、第1部において、経営者、プロジェクトリーダーに向けて情報セキュリティの全体像を解説し、次いで第2部では、情報セキュリティマネジメントシステムを構築していくプロジェクトの進行手順を解説し、そして第3部で、規格の付属書Aの明快な解説といった構成で、情報セキュリティマネジメントシステムを通して企業が本当に強くなる方法について伝授しています。情報セキュリティマネジメントシステム」です。2008年4月にカナリア書房より発行されています。本書の帯には、以下のように書かれてあります。27001の認証取得をベースに、マネジメントシステムの構築と運用をプロがこっそり教えます!情報セキュリティで企業が本当に強くなる方法が分かった。本書は、上で紹介したように3部から構成されています。各部の意図に応じてその内容の構成も少し変わっています。部の終わりなどに「ITはブラックボックス化」などの『コラム』の欄が設けられ、興味深いトピックスが取り上げられています。本書の内容についてざっと紹介していきます。第1部では、「情報セキュリティマネジメントシステム構築とは」として、情報セキュリティの全体像について解説しています。企業経営と情報セキュリティの関わりについて幾つかの話題を取り上げ、情報セキュリティとは、玄関マットを敷く考え方と同じく物理的境界線を定め、リスクマネジメントにも関わるという話題など情報セキュリティの本質から第三者認証までについて解説しています。情報セキュリティマネジメントシステムの構築について、やるべきことをリストアップするプランニングから始め、セキュリティプロジェクトについて行き詰まって失敗するケースを解説し、成功する上での留意ポイントなどを解説しています。情報セキュリティの、マネジメントサイクルを構築して、徐々にレベルアップを図るような方策が適切としています。第2部では、「ISMSプロジェクト」として、ISMSの構築に向けてISMSプロジェクトを立ち上げて、どのようなステップでISMSを構築・推進するかを解説しています。27001:2006)に基づく、情報セキュリティマネジメントシステムの構築の手順を解説しています。いった条項番号について表でまとめて分かり易く解説しています。本来の情報セキュリティの目的に合致した使い勝手を重視したものとのことでJISの本文とは少し違った箇所もあります。27001:2006)規格をベースとする情報セキュリティマネジメントシステムの構築と運用のポイントが明確に整理されて分かり易く解説されていると思います。27001の認証取得に関心がある関係者には、お薦めの一冊です。(Amazy)なお本書の概要目次は、以下の通りです。27001に基づくISMS(:情報セキュリティマネジメントシステム)活動の実践内容と運用手法を中心にISMSの構築と運用について解説している本を紹介します。新書版ながら情報セキュリティの向上、業務の効率化を実現するための効果的な啓蒙活動や安価なツールの活用、更には、効率的で安価な文書管理手法などに関するノウハウや研究成果を含め実践的なISMS活動の解説書となっています。情報セキュリティマネジメントと経営戦略」です。理工学新書070003として発行されています。本書の裏表紙の折り返し部には、本書の内容紹介で以下のことが書かれてあります。「13000名のユーザが利用する大規模かつ自由度の高い大規模組織内ネットワーク!これに対して、わずか10数名の情報セキュリティチーム!果たして真の情報セキュリティ文化は、構築できたのでしょうか!本書は、この問題解決を目指しISO27001の認証取得とその運用を通して果敢に取り組んできた少人数セキュリティ部署の成功の記録をまとめたものです。どの様な施策を行えば情報セキュリティシステムを確立することができ、さらにその高い水準を維持することができるのでしょうか。ITツールの効果的活用法、そしてシステム構築の試行錯誤から得た貴重なノウハウ、研究成果など今すぐ役立つ話題満載の実践的ISMS解説書です。企業、大学など幅広い分野の情報担当者に広くお勧めします。本書は、15章からなります。1ページが1項目の読み切りの形式になっています。最初に写真や概念図などの図表で概要がまとめられ、それに解説の本文が続くという構成になっています。好きな箇所から読み始めることができます。通勤・通学の途上で読む進めるのにも好適です。1章では、「はじめに」として、用語の説明や本書の構成の紹介があります。)と基本方針、PDCAとプロセスアプローチ、ISMS規格のPDCA構成などが取り上げられています。3章では、「身の回りからはじめるISMS」として、ISMSをはじめましょうから始まり心得、基本方針の作成に向けてなどのISMSの基本的な事項について分かり易く解説されています。4章では、「物理境界のセキュリティ」として、スタンドアロン型入室管理システムから、TVカメラ監視装置までの物理境界のセキュリティについて、5章では、「リスクアセスメント」として、リスクアセンスメント手法の要求要件から、脅威レベルを推定する上での注意、リスクアセスメント手法の種類や考え方について、6章では、「マインドマップ」として、トニー・ブザンのマインドマップ手法をISMSに活用していく静岡大学式の手法について解説されています。7章では、「その他のITツール」として、ワープロソフト、マインドマップソフト、電子掲示板システムなどのその他の活用されたツールについて解説。8章では、「内部監査(監査)」として、ISMS内部監査の概要から進め方、9章では、「マネジメントレビュー」として、それぞれの概要について解説しています。10章では、「大学のISMS」として、大学における情報セキュリティの位置づけ、問題点、運用、ISMSの効能などを解説。11章では、「情報基盤とISMS」として、静岡大学の情報セキュリティセンターの活動の概要が解説されています。12章では、「文書作成と管理」として、また13章では、「便利なワープロ基本機能」として、ISMSの文書管理手法として実施されたワープロの基本機能や活用手法について、ISMSマニュアル、手順書などの書き方から変更管理の手法など解説しています。14章では、「ISMSに関する研究紹介」、15章では、「ISMS中長期戦略」として、大学でのISMS研究活動について解説しています。この二つの章では、リスクアセスメントの自動化手法など1ページの読み切り形式ではなく論文的な記載形式になっています。ISO/IEC27001の認証に取り組まれる組織の関係者だけでなく、ISMSの分かり易い啓蒙書として情報セキュリティに関心があるビジネスパーソンにお奨めです。(Amazy)なお本書の目次は、以下の内容です。すべての文書実例までを公開し、そのポイントを解説している本を紹介します。27001の取得プロセスをわかりやすく実例に基づき解説しています。本書は、最小限のスリムな文書数で認証取得を実現した会社の文書を公開し、実際にシステムを構築して文書類を作成するコツを参考例として提示しているものです。ISMSの認証取得からPDCAのマネジメントサイクルを運用し継続的な改善の取組の最新のシステムが反映された実例集とのこと。本書:「スリムに実現するISO27001完全実例集」です。氏(株式会社ゼロソフト)にて、2007年7月にオーム社より発行されています。前著の「スリムに実現するISMS完全実例集」のISO27001への改定に対応して内容を大幅に変更した位置づけとなっています。著者は、「はしがき」の中で、同社がISO27001の認証取得したことによるメリットについて社外的(�~�)と社内的(�~�)として以下のような点を上げています。完全実例文書を収録したCD-ROMを株式会社ゼロソフトにて販売中とのことです。本書は、3章から構成されています。1章では、「ISMS取得プロセス」として、ISO27001の認証取得の意思決定をしてから、社内体制を構築し、マニュアルなどのISMSを構築し運用する、また内部監査から審査までのISMSの取得のプロセスを時系列的に解説しています。2章では、「文書の構成と作成のポイント」として、ISMSの文書構成の体系から、特にISMSマニュアルの作成のポイント、さらに帳票作成上のポイントと、ISMSの運用上のコツなどを重点にISMS文書をどのように構成し、作成すればよいかといったポイントを株式会社ゼロソフトの事例を基に解説しています。3章では、「文書実例」として、この章がISO27001のマニュアル等の文書類の実例が掲載され、本書の中核部分になります。この文書実例では、以下の文書を取り上げています。情報セキュリティルールブックシステム管理マニュアルサーバ運用マニュアルさらに帳票類としては、帳-01:「トラブル報告書」から帳-43:「ストレスチェックシート」までの43種類の帳票類が取り上げられています。付録(帳票記入例)として上記の43種類の全ての帳票の記入例が掲載されています。(Amazy)なお本書の目次は、以下の内容です。systems−Requirements:情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−要求事項))に基づく認証登録件数は、2253とのこと。このISMSの認証取得に取り組み組織は、増加しつつあるとのことのようです。認証審査のポイントを分かり易く解説している本を紹介します。本書:「実務者のための情報セキュリティマネジメントシステム」です。Q27001(ISO/IEC27001)規格徹底解説」との副題が付いています。よる編纂にて、2007年4月に産経新聞出版より発行されています。本書の帯には、以下のように書かれてあります。セキュアJAPAN構想において重要な柱ともなっており、安全安心なネットワーク社会の実現、セキュアで安心感のある企業形成と持続性の確保のために経営者が真剣に取り組むべきテーマである。本書は、本書の利用方法、はじめになどに続いて、1部から3部までの構成となっています。Technology>とISMSとの関係や比較、ISMSの内部統制への適用など記載)」が添付されています。第1部では、「認証取得の前準備」として、なぜISMSの認証を取得するかの目的を確認することからシステム構築に失敗しないためのキーポイントからスケジューリングなどのポイント、更には、ISMS審査を受ける際の要点が解説されています。Q27001規格のポイント」として、JISQ27001:2006規格の序文から、8.3項の予防処置まで、とくに要求事項については、その要求事項、その解説、構築のポイント、認証審査のポイントといった要領で詳細に解説しています。第3部では、「附属書A管理目的及び管理策」として、JISQ27001:2006規格の附属書A管理目的及び管理策について、A5:セキュリティ基本方針、A.5.1:「セキュリティ基本方針」から、A15.3.2の情報システム監査ツールの保護までの管理目的及び管理策について、その解説、構築のポイント、認証審査のポイントといった要領で詳細に解説しています。(Amazy)なお本書の目次は、以下の内容です。情報セキュリティに関わる責任者、担当者に向けて、情報セキュリティの組織と体制づくりから展開し、セキュリティポリシーのつくり方、情報の管理、リスクマネジメント、技術的対策の基本、導入と運用のポイント、脆弱性検査、セキュリティ評価などの基本的な事項をわかりやすく解説しているまさに情報セキュリティ対策の「教科書」、「ハンドブック」として最適な本を紹介します。本書:「情報セキュリティ教本」です。Proffesionals」との副題が付いています。範久先生の監修にて2007年4月に実教出版株式会社より発行されています。本書は、2007-02-15のこちらのブログでも紹介した「情報セキュリティ読本」の姉妹本になります。本書の帯には、以下のように書かれてあります。情報セキュリティ対策の担当者、責任者の方を対象に、組織の情報セキュリティ対策を具体的に、分かりたすく解説しました。情報セキュリティに関わる主要な基準・対策を網羅しました。情報セキュリティ担当者、責任者のテキストとして、またハンドブックとして最適です。「情報セキュリティ教本の発刊によせて」のなかで、監修者は、情報セキュリティ対策と本書の考え方について以下のように述べています。「誰もが感じていると思うが、どんな組織でも情報セキュリティ対策の実施は本当に難しい。