事業継続計画を活用して、いかに事業継続管理を組織内に浸透させていくか、あるいは戦略的に活用していくかというマネジメント自体を指します。E受講生:事業継続計画はなぜ必要なのでしょうか。現在は、どのような組織でも情報システムへの依存度が増大しています。そこで、いったん情報システムが利用できない状況になると、即刻業務がストップすることになりかねません。そのようなリスクを避けるために、事業継続計画がたいへん重要です。その他にも事業継続計画が必要な理由として、下記のような項目が考えられます。1)サプライチェーンにおけるボトルネックにならないことが求められている。2)企業の社会的責任(CSR)を果たすため。3)大地震などの自然災害の他、予想困難なリスクが増加に対処するため。4)投資家などの利害関係者の期待に応えるため。5)社員の雇用確保のため。E受講生:どうも有難うございました。Q16.他の管理策で、事業継続管理に言及しているものがありますか。27001附属書Aの箇条14に一連の管理策が規定されていますが、他の管理策でも、事業継続管理に言及しているものがありますか。規格では、『事前対策』の対象としている管理策について、『事前対策』のみならず『事後対策』への考慮の必要性が強調されているケースがあります。27002の「実施の手引」や「関連情報」の記述から明らかになります。どの管理策に『事後対策』が必要であると考えられているかを示すものとして参考になります。27002の「実施の手引」や「関連情報」を参照しながら、見ていきたいと思います。順守の要求事項の簡潔な説明、例えば「事業継続管理」に関する記述を含むことが望ましい。T講師:最近、特に事業継続計画の重要性が増してきており、事業継続管理は情報セキュリティ基本方針に入れておきたい内容といえます。情報セキュリティ責任の割当て「事業継続計画」のような特定のセキュリティプロセスの実行に限定される責任を明確に定めることが望ましい。T講師:組織がある程度大きくなると、情報セキュリティの全般的な責任を一人で担うことは難しいので、個別の業務、例えば事業継続計画に対する責任者を任命することになります。このとき、その責任の範囲を明確にして文書化することが重要です。資産には、次のような多くの種類がある。この管理策では、資産の識別及びそれらの重要度を記録するとともに、関連するあらゆる情報の記載に言及しています。その中に、災害の復旧に関する情報があれば、事業継続管理に役立つことになります。情報のバックアップ情報のバックアップについて、「バックアップの範囲、及びバックアップの頻度は、組織の業務上の要求事項、関連する情報のセキュリティ要求事項、及びその情報の組織の事業継続に対しての重要度を考慮して決定する」ことが望ましい。情報のバックアップについて、「復旧手順は、有効であること、及び回復のための運用手順で定められた時間内に完了できることを確実にするために、定めに従って点検し試験する」ことが望ましい。この管理策は主に、バックアップ情報やバックアップ媒体の管理方法について述べていますが、特に上記2項目は災害時復旧計画の観点から必要な対策といえます。E受講生:わかりました。Q17.ISMS内部監査の概要について教えてください。E受講生:今回はISMS内部監査について伺います。内部監査の重要性はどのような点にあるのですか。情報は組織にとって価値がある資産であり、適切に保護する必要があります。情報資産を保護することによって、事業の継続を確実にし事業上のリスクを最小限にすることは、組織の社会的責任でもあります。組織の経営陣は情報セキュリティの基準やガイドラインを活用し、方針と目標を設定し、経営資源を配分して、マネジメントシステムを構築、運用しなければなりません。組織自体が行う内部監査は、マネジメントシステムの運用を定められた間隔でチェックし、マネジメントシステムの改善に直結する重要な位置付けにあります。E受講生:内部監査と第三者監査(審査)には、どのような違いがあるのですか。T講師:以下の表に両者の違いを簡単に示します。T講師:第三者監査(審査)は第三者による審査を前提とし、組織のマネジメントシステムを要求事項に従ってチェックし、それが一定のレベルに達していることを保証することを目的とします。それに対して、内部監査は組織の内部事情に詳しい監査員が主体となり、組織のマネジメントシステムを要求事項に従ってチェックするだけでなく、情報セキュリティのパフォーマンスや法的要求事項等への適合状況まで踏み込んで確認することで、マネジメントシステムの改善を図ることを目的とします。第三者監査(審査)は、一般的には限られた期間で限られた項目の審査となるのに対し、内部監査は組織の状況に応じて必要充分な期間と項目を監査することができ、真に経営陣が求めるマネジメントシステム改善の大きな原動力となります。27001に内部監査の規定がありますが、どのようなことが規定されているのですか。T講師:主要な点は以下の通りです。プロセス及び手順が次を満たしているか否かを明確にする。適合していること-識別された情報セキュリティ要求事項に適合していること-有効に実施され維持されていること-期待通りに実施されていること監査プログラムの策定。監査プロセスの客観性及び公平性を確保する。監査の計画及び実施、結果の報告、記録の維持に関する責任、並びに要求事項を文書化された手順の中で規定する。改善処置が確実に講じられるようにする。E受講生:どうも有難うございました。Q18.ISMS内部監査の具体的な実施内容はどのようなものですか。E受講生:前回に引き続いてISMS内部監査についての質問です。内部監査の具体的な流れについて教えてください。内部監査の具体的な流れを以下の図に示します。E受講生:まず、監査前の準備段階におけるポイントですが、内部監査を計画する上での留意点は何ですか。以下の項目が、留意点として挙げられます。1)ISMS年度計画に合わせて年度監査計画を公表する。2)監査リーダは、監査の対象範囲、手法、メンバーを定め、ISMS管理責任者と調整し、監査計画書を作成、通知する。3)監査後のフォローアップ監査の監査実施責任者を、ISMS管理責任者との間でよく確認する。スケジュールの厳守を徹底する。変更は速やかに連絡する。5)ISMS外部審査との関連性を考慮して内部監査の時期を設定する。継続審査の指摘事項を内部監査でも確認する。27001の各項目と組織各部門との相互関係を表したマトリックスを作成し利用すると良い。E受講生:他に監査前の準備のポイントとして、どのような事項がありますか。準備段階には、監査用チェックリストを作成します。実施することを目的とし、監査対象が監査基準に適合しているか否かを評価するために準備される確認項目や質問事項のリストであり、監査員が作成します。E受講生:監査用チェックリストの役割はどのようなものですか。T講師:チェックリストには、以下のような役割があります。回答内容、その他観察した事項)の全てを記録し残すための手段E受講生:どうも有難うございました。Q19.ISMS内部監査の具体的な実施内容はどのようなものですか(続き)E受講生:今回は、内部監査の具体的な流れにおいて重要である「情報の収集及び検証」について伺います。T講師:それでは、最初に「情報の収集及び検証」のポイントを以下に示します。E受講生:まず、情報の収集における留意事項について教えてください。留意事項として以下の項目が挙げられます。1)検証可能な情報だけを監査証拠とする。ISMSの文書や記録が監査の主な対象である。2)監査証拠は監査メモに記録する。3)監査はサンプリング(事例の抽出)によることが多い。サンプリングには不確実性があることを認識する。抽出する事例は監査員が指定する。4)コンピュータ内にある記録を確認するときは、被監査部門に依頼して操作してもらう。E受講生:次に、監査の主な対象となる記録の確認における留意事項は何ですか。T講師:以下の項目が、留意事項として挙げられます。1)必要事項が記載されているか。2)記録が当該管理策の運用状況を把握するのに適切か。3)記録自体の完全性は維持されているか。4)記録が閲覧可能な状態に維持されているか。E受講生:監査の対象は文書や記録が中心ですが、それだけに限定されないと思います。他に、どのような監査対象があるのですか。T講師:その通りですね。人、作業環境、コンピュータ・データなども、もちろん対象となります。E受講生:作業環境の確認項目としては、どのような例がありますか。T講師:作業環境で確認する例として以下のような項目があります。啓蒙活動(連絡網、セキュリティ方針等)E受講生:よくわかりました。Q20.内部監査における各会議体の実施要領について教えてください。E受講生:内部監査の当日に開催される会議がいくつかありますが、各々の実施要領について質問します。「監査前会議(オープニングミーティング)」についてです。監査リーダは内部監査を開始する前に、当日の監査の計画内容や参加者の氏名の確認、スケジュール変更有無の確認等を行うための会議を開催します。この「監査前会議」は、形式にとらわれず、できるだけ簡潔に要領良く実施することが重要です。E受講生:「監査前会議」での主な確認事項は、どのようなものですか。以下の項目が挙げられます。1)監査チームの氏名・役割の紹介。被監査側の氏名・役職の確認。参加者名は監査報告書に記載します。2)監査計画書の内容の確認。確認現場への移動の有無を確認します。3)監査に使用するシステム文書版数の確認。4)監査途中で見つかった事項の取り扱いに関する確認。呼び出しの制限等の確認。取り扱いについての常識的な注意。7)監査プロセスの記録責任(双方)の確認。E受講生:次は「監査員ミーティング」です。T講師:被監査側に対して予定していた監査項目が全て終了したら、監査側は監査チーム員のみで監査結果をまとめるための時間を持ちます。これが「監査員ミーティング」です。監査員は、各自のチェックリストや監査メモをもとに、不適合とすべき事項を抽出し、該当がある場合には「不適合報告書」を作成します。不適合とならない問題点があれば、改善要望事項として文書にまとめます。監査リーダは「監査報告書」を作成し、不適合事項のレベルを最終決定したうえで、全体的な監査結果をチーム内で確認します。E受講生:最後に「監査後会議(クロージングミーティング)」についてです。T講師:監査結果を報告書にまとめる作業が終了したら、監査リーダは被監査側関係者に再度集まってもらい、監査の結果を報告する「監査後会議」を開催します。「監査後会議」は、監査当日の関係者の記憶がまだ確かなうちに実施するようにします。E受講生:「監査後会議」で実施すべき事項には、どのようなものがありますか。以下のような事項があります。1)監査リーダは監査協力のお礼を述べる。2)監査した範囲、事前の計画からの変更、未達成項目を確認する。4)監査員は不適合報告書を説明する。5)監査員は改善要望事項を説明する。6)監査リーダは監査報告内容の同意を確認する。E受講生:どうも有難うございました。Q21.不適合の考え方及び監査のポイントはどのようなものですか。E受講生:最初に、監査における不適合の考え方について伺います。不適合の指摘に当たって重要なのは、どのような点ですか。以下の項目が挙げられます。1)監査証拠は監査基準に関連し検証できる事実に基づく。3)不適合のレベルを明確にする。4)不適合の根拠を明確にする。5)内容について被監査組織の同意を得る。6)是正処置を要求する。E受講生:不適合のレベルの明確化について、一般的にはどのような方法が用いられているのですか。区分する方法が多く用いられています。各々の定義は、以下の通りです。重要なシステムや手順が欠落している、又は機能していない。不適合事項が重大なリスクとして顕在化する可能性が高い。違背していないが、改善が望まれる。E受講生:次に、不適合の根拠を明確にする際は何に気を付けますか。T講師:不適合とする事実が監査基準(通常、組織のセキュリティ方針やセキュリティ規定)のどの条項に該当するかを特定します。不適合の状況:サーバのデータバックアップが定期的に取得されていなかった。不適合とする根拠:「情報システム運用規定」X.X項ではバックアップを定期的にとる旨が規定されている。E受講生:最後に、全般的な監査のポイントについて教えてください。T講師:以下のような項目がポイントとして挙げられます。1)先入観や私見にとらわれず、真実の姿を見つけ出す。2)監査は被監査側との共同作業と認識する。3)不適合の判断は客観的証拠に基づくこと。できる限り文書や記録で確認する。4)質問が理解されているかどうかを確かめること。疑わしい場合は、言葉を変えて質問する。事例を交えて具体的に質問の意図を説明する。6)報告書は意味が伝わる文章を書く。監査リーダは、監査員の報告が間違っていないか注意する。7)チェックリストに頼り過ぎない。方向性を誤らないための指針として使う。混乱したときは、チェックリストに戻る。8)サンプリング手法によるリスクを認識する。9)監査はチーム作業である。自分だけで処理しない。10)書類監査が中心であるが、言葉や記述細部の辻褄合わせや言葉尻の指摘に陥らず、全体としてのシステムの適合性や効率の向上につながることを目指す。11)慣れてくると細部が見えるようになり、かえって危いこともある。期待されているのはマネジメントシステムの監査であり改善である。E受講生:よく理解できました。Q22.ISMS構築の概要について教えてください。E受講生:今回は、ISMS構築の概要について伺います。ISMS構築の流れは、どのようなものですか。以下に簡単な図で示します。一般的に、ISMSの構築は、システム開発と同様にプロジェクトとして取り組むことが重要です。ISMS認証取得E受講生:ISMSを構築する上で、ISMS活動を成功に導くための留意点には、どのようなものがありますか。T講師:以下のような項目がポイントとして挙げられます。1)ISMS活動は、事業を継続し発展させるための経営レベルの課題であることを明確にし、経営陣に認識を求めておく。2)ISMS構築には、専門的な知識を要することがあるので、専門家の参画を考慮する。法律の専門家による、法令や契約事項(SLA)等の確認を行う。セキュリティ技術の専門家による、セキュリティ診断の実施、セキュリティホールの把握、セキュリティ技術の選択と適用を行う。リスクマネジメントの専門家の経験を利用すると、組織に合ったリスク分析手法が導入でき、難しいとされるリスクアセスメント作業の効率化に繋がる。3)関係者全員にISMS制度を定着させるため、セキュリティに関する認識の向上を図り、インシデントの予防に努める。4)刻々と巧妙になる脅威を把握するため、関係当局との連絡体制の整備、最新のセキュリティ情報の確保に努め、重要な対策を組織内に徹底する。5)リスクアセスメントの結果から対策の優先度を設け、重要な管理策から適用していく。組織の要件に見合うレベルのISMSを構築し、当初から完璧な管理策の適用を望む必要はない。E受講生:どうも有難うございました。Q23.リスクアセスメントの基礎について教えてください。E受講生:前回はISMS構築の概要を教えて頂きましたが、今回はその中核であるリスクアセスメントについて伺います。リスクアセスメントの概要は、どのようなものですか。T講師:以下にリスクアセスメント(リスクマネジメント)の概要を示します。E受講生:この図を見ると、「リスクアセスメント」の上位に「リスクマネジメント」が位置するみたいですが。「リスクマネジメント」とは、リスクに対して体系的に取り組むことであり、「リスクアセスメント」より広い概念です。0008(リスクマネジメント-用語-規格において使用するための指針)により、各々の定義を見て行くことにしましょう。1)リスクマネジメントリスクに関して組織を指揮し管理する調整された活動。(備考)リスクマネジメントは一般にリスクアセスメント、リスク対応、リスクの受容及びリスクコミュニケーションを含む。2)リスクアセスメントリスク分析からリスク評価までのすべてのプロセスa)リスク分析リスク因子を特定するための、及びリスクを算定するための情報の系統的使用。b)リスク評価リスクの重大さを決定するために、算定されたリスクを与えられたリスク評価基準と比較するプロセス。3)リスク対応リスクを変更させるための方策を、選択及び実施するプロセス。4)リスクの受容リスクを受容する意思決定。5)リスクコミュニケーション意思決定者と他のステークホルダーの間における、リスクに関する情報の交換、又は共有。E受講生:一般的には「リスクアセスメント」という用語がよく使用されますが、それは「リスクマネジメント」の中に含まれる概念の一つであるということですね。T講師:その通りです。次回以降は、主要な概念について、もう少し詳しく見て行きたいと思います。E受講生:わかりました。次回も、よろしくお願いいたします。Q24.リスクアセスメントには、どのような方法(アプローチ)がありますか。E受講生:今回は、リスクアセスメントにおける方法(アプローチ)について伺います。前回、リスクアセスメントには、リスク分析とリスク評価のプロセスがあることを教えて頂きました。「リスク分析」とは、資産を識別し、脅威及びぜい弱性を識別した上で、リスクが顕在化した場合の損害額と、脅威及びぜい弱性の程度に応じた発生可能性を算定すること。「リスク評価」とは、リスク分析を実施し算定したリスクをリスク評価基準と比較することです。E受講生:それでは、リスク分析においては、どのような方法(アプローチ)があるのでしょうか。T講師:リスク分析におけるアプローチには、一般的に、以下の4つの方法があります。1)ベースラインアプローチ組織全体に着目し、一般的な標準やガイドラインを参照してリスクを分析しセキュリティ対策を適用する方法。組織全体に標準的なセキュリティ対策が選択できる。情報資産ごとに着目し、脅威、ぜい弱性及びリスクを分析する方法。情報資産に適した対策を選択できる。3)組合せアプローチ複数の方法(一般的にはベースラインアプローチと詳細リスク分析)とを組合せて、リスクを分析・評価する方法。4)非形式的アプローチ現場担当者など専門家の永年の経験、知見に基づいてリスク分析し対策を実施する方法。これらの中で、比較的よく用いられるのは、『ベースラインアプローチ』あるいは『詳細リスク分析』です。E受講生:まず『ベースラインアプローチ』は、どのような手順で実施されますか。T講師:一般的に、以下の手順で実施されます。管理策の選択ギャップ分析を実施する目的は、組織の定める基準への準拠状況の把握にあります。E受講生:次に『詳細リスク分析』は、どのような手順で実施されますか。ぜい弱性」「リスク値」を数値で評価し、資産単位でリスク評価を行うものです。組織の特徴に応じたリスク評価が可能となり、必要性に適合したセキュリティレベルが特定できます。結果を得るのに相当な時間・努力・熟練が必要です。以下に、詳細リスク分析のプロセスを簡単に示します。E受講生:有難うございました。Q25.リスク対応の選択肢について教えてください。E受講生:リスク対応は「リスクを変更させるための方策を選択及び実施するプロセス」であると伺いましたが、リスクを変更させるための方策として、どのような選択肢がありますか。下記の4つの選択肢があります。1)適切な管理策を採用する(リスクの最適化)。2)組織の方針及びリスク受容基準を明確に満たすリスクを、意識的、かつ、客観的に受容する(リスクの保有)。3)リスクを回避する(リスクの回避)。4)リスクを移転する(リスクの移転)。E受講生:それぞれについて簡単に説明してください。T講師:わかりました。1)リスクの最適化(リスクの低減)『適切な管理策を適用して、リスクの発生可能性や影響度を低減する方法』リスク対応の実施の際に最も多く採用される方法です。27001の附属書Aに記載されている133項目の管理策の適用や要求事項に明記されていない対策の追加実施等が該当します。保有するリスクは、a)識別され受容されるリスクb)識別されず組織に内在するリスクの2つに大別されます。27001におけるリスクを保有するとは、前者の「識別され受容されるリスク」が対象です。リスクが組織の基本方針及びリスクの受容のための評価基準を明らかに満たす場合には、意識的かつ客観的に当該リスクを受容することになります。『リスクのある状況から迂回または撤退する方法』リスク対応を検討した上で、コストの割に利益が得られない場合や、適切な対応策が見出されない場合、リスクを回避するために、業務を廃止したり、資産を破棄するといった方法をとることです。『契約等によりリスクを他者(他社)に移転する方法』リスクを移転する方法は、a)資産や情報セキュリティ対策を外部に委託する方法(アウトソーシング)b)リスクファイナンスの一種として保険等を利用する方法の2種類に大別されます。E受講生:リスク対応において、何か留意すべき点がありますか。T講師:以下のような項目が留意点として挙げられます。27001附属書Aの管理策を参考にして、リスクの低減策を考えると良い。2)「残留リスク」に対する経営陣の承認を得ることが大切。「残留リスク」とは、リスク対応後に残っているリスクのことであり、受容可能レベル以下のリスクもこれに該当します。E受講生:どうも有難うございました。Ltd.,電話をかける資料請求お問い合わせ。