工業基準の策定を目的とする国際機関で、第三者認証に必要となる要求事項等を作成しています。ISOの規格は番号によって整理され、品質マネジメントシステムはISO9001、環境マネジメントシステムはISO14001、食品安全マネジメントシステムはISO22000、道路交通安全マネジメントシステムはISO39001、事業継続マネジメントシステムはISO22301などとなっています。このISO規格の中に「情報セキュリティマネジメントシステム」もあり、ISO27001という規格になっています。さまざまな企画があるISO規格ですが、それらを分かりやすくいくつかに分類する場合、産業別に分ける方法もありますし、品質、環境といった分野別に分ける方法もあります。次の3つに分ける方法もあります。1ビジネスパフォーマンスの改善2ビジネスリスクのマネジメント3サステナビリティ(持続可能)な価値創出この場合、「情報セキュリティマネジメントシステム」であるISO27001は、2の「ビジネスリスクのマネジメント」に属することになります。ISO27001は2005年に既に発行され、わが国においては翌年JISQ27001:2006としてJIS規格の一つとして発行されました。今はJISQ27001:2014となっています。ISO27001をサポートするため、ISO27000(用語集)、ISO27003(ISO27001をサポートするための実施のガイドライン)、ISO27004(情報セキュリティマネジメントの測定に関わる規格)などがあります。)を社内に構築し、運用していくためのルールを定めた国際規格です。ISO27001では、関連する法規や契約上のセキュリティ義務の遵守や実効あるリスク評価、処理対策を活用した効果的なISMSの確立などの要求事項があり、それら要求事項に対して組織的に取り組まれていることを示す情報セキュリティポリシーの策定を求めています。リスクが低減されるというだけでなく、顧客からの信頼を獲得することができ、企業のブランドイメージを向上させ、結果として企業の競争力が向上するというメリットがあります。ISO27001とプライバシーマーク制度ISO27001によく似た制度にプライバシーマーク制度があります。ISO27001は情報セキュリティマネジメントシステムを構築・運用するための国際規格ですが、プライバシーマークは個人情報保護マネジメントシステムを構築・運用するための日本独自の規格です。15001個人情報保護マネジメントシステム―要求事項」によって、事業者が個人情報の取扱いを適切に行う体制等を整備していることを認定するものです。ISO27001は情報資産全般を管理するのに対して、プライバシーマークは個人情報に限定されるとこが大きな違いと言えます。Cyber3とは、サイバーコネクション(IoT、クラウドサービス、センサーネットワーク、ロボット、自動運転テクノロジーといったテーマを分析するとともに、インターネットの関わりを未来へとどう繋げていくか)、サイバーセキュリティ(サイバー空間の安全性向上や悪意ある攻撃からの防御のため、世界中の異なる組織がどのように互いに協力していけるのか)、サイバークライム(グローバルなステークホルダーが、サイバー犯罪の増加を抑止するために、情報交換や国境を越えた協力をどのように最大限活用していけるのか)の3つのテーマを指します。プライスウォーターハウスクーパース社はこの会議に合わせて、「グローバル情報セキュリティ調査2016」の結果を発表しました。キュリティ責任者、あるいは企業役員などの経営層を対象にオンラインで調査したものです。それによると、企業が採用するセキュリティのフレームワークに関して、グローバルおよび国内ともISO27001の採用が最も多かったそうです。Defenseの採用率が28%もあるのに対して、日本ではいずれも9%しかありませんでした。グッドプラクティス標準は、グローバルが26%に足して日本は僅か4%でした。以外のフレームワークをほとんど活用されておらず、ISO27001に偏重していると言えるかもしれません。このことに関してプライスウォーターハウスクーパース社は次のように述べています。シリーズに偏重する傾向があります。昨今の洗練されたサイバー攻撃を考慮すると、インシデントが起こる前提に立った態勢を構築することが必要です。)サイバーリスクを他の組織と共有しているかという問いに対しては、グローバルが64.7%なのに日本は30.4%となっています。)また、インシデントによるダウンタイムの長さを、脅威情報サービス、セキュリティ関連ログなど分析する「SIEM」、インデント対応プロセスの有無での比較では、脅威情報サービスの導入有無による組織のダウンタイムに大きな差がありました。)こうしたことから、プライスウォーターハウスクーパース社は以下のことを提言しています。態勢を整備する必要がある。Intelligenceによって、過去や現在のサイバー攻撃の状況を定期的に分析し、将来のサイバー攻撃を予測することで、プロアクティブなインシデント対応態勢の構築が可能となる。コメントをキャンセルメールアドレスが公開されることはありません。