Q&Aテクノファでは、定評ある以下のコースを開催しています。下記Q&Aの内容をより良く理解するため是非ご受講をご検討ください。27000シリーズについて教えて下さい。27001(情報技術-セキュリティ技術-情報セキュリティマネジメントシステム-要求事項)となりました。JTC1(情報技術の小委員会)/SC27(セキュリティ技術)で審議され、2005年10月15日に発行されました。E受講生:現在、組織のISMS認証審査に適用されているISMS認証基準(Ver.2.0)の取扱いは、どのようになりますか。T講師:ISMS認証基準(Ver.2.0)は、国際規格ISO/IEC27001へ移行することになります。27001への正式な移行計画が示されます。27001の発行により、どのようなことが予想されますか。T講師:ISMSを導入し、新規格の要求事項に照らして、認証を取得したいと考えている組織の関心を急増させることが予測されます。ISMSは広範囲にわたる事業や産業・商業部門を超えた世界規模での大きな事業へと発展する可能性があります。27000シリーズの最初の規格であるわけですね。T講師:その通りです。27000シリーズと呼びます。今後、多くの規格が開発される予定です。27000シリーズとして、どのような規格が発行される予定ですか。27000シリーズの主な規格を紹介しておきます。ISMS-基本及び用語-ISMSの基本の説明と関連する用語を規定します。17799:2005(情報技術-セキュリティ技術-情報セキュリティマネジメントの実践のための規範)は2005年6月15日に発行されましたが、2007年4月頃に規格番号を換えて発行予定です。27002:2006が本年4月頃に発行される予定です。ISMS実践の手引ISO/IEC27001をサポートするためのガイドラインであり、PDCAプロセスに関わる詳細な助言、適用範囲や基本方針作成のガイド、情報資産特定のガイドなどが盛り込まれる予定です。管理策の有効性を測定するガイドです。情報セキュリティリスクマネジメント情報セキュリティに関するリスクマネジメント側面をサポートするガイドです。E受講生:どうも有難うございました。27001要求事項は、どのような点が変更になったのですか。27001規格の要求事項がISMS認証基準(Ver.2.0)と比較して、どのように変更されたのかを教えて頂きたいと思います。T講師:総括的に見ると、基本的な考え方や求めるものが変わったというわけではありません。現在のPDCAプロセスにおける要求事項の仕様が明確化され改善されたという捉え方で結構です。ISO化により、ISMSが国際的に広く使用されるようになるため、ユーザーにとってわかりやすいものとする意図もあります。E受講生:具体的には、どのような点が明確化されたのですか。セキュリティ要求事項を考慮に入れる」等、これまで明確に記述されていなかった部分が明示されました。ある管理策を選択するに当たって、『この管理策は、顧客との「契約上の義務」すなわち受入契約を守るために選択した』という点を明確にすることになります。リスクアセスメントは「比較可能でかつ再現可能な結果を生み出す」ことが要求事項として明記されました。E受講生:さらに、「有効性の測定」も重要なポイントですね。T講師:その通りです。27001では、経営陣からの「セキュリティ対策実施効果の可視化」要求に応える等、新しい課題に対しての要求事項が追加されています。「セキュリティ要求事項の検証のための測定実施」がこの部分に当たり、ISMSのPDCAが有効に機能していることを証明する必要があります。『ISMSの有効性とは何か』を突き詰めて行くと、『管理策を実施して、どれだけリスクを減らすことができたのか、本当にリスクを減らせたのか、を測定することにより有効性の部分が見えてくる』わけであり、有効性の測定は必須のものであるといえます。27001とISMS認証基準(Ver.2.0)では、どのような違いがありますか。27001とISMS認証基準(Ver.2.0)の要求事項の構成を比較してみると、以下の図のようになります。27001では、「内部監査」が「マネジメントレビュー」から独立した章となったのですね。内部監査の要求事項の内容に大幅な変更はありませんが、内部監査が独立し、位置付けとして経営陣のコミットメントの中で実施することが明確にされました。附属書Aは、ISO/IEC17799:2005の管理策と連携が取られており要求事項です。E受講生:わかりました。27001「管理目的及び管理策」は、どの点が変更になったのですか。27001規格の管理目的及び管理策がISMS認証基準(Ver.2.0)と比較して、どのように変更されたのかを教えて下さい。T講師:管理策についても、基本的には再整備されたとの認識で結構です。主として、下記のような変更がありました。社会や技術の変化に対応するために、管理策を最新のものにするという考え方に基づいています。1)メインフレーム中心から、「分散、モバイル、ワイヤレス環境」重視へ2)「技術的脆弱性の管理」の追加3)「モバイルコードに対する管理策」の追加4)外部組織としての「顧客対応におけるセキュリティ」の追加5)「第三者が提供するサービスの管理」の追加E受講生:これにより、管理目的や管理策の数に変更があったのですか。目的は36から39へ、管理策は127から133へ増加しました。これは単純な増加ではなく、1)追加された項目、2)統合・削除された項目を加算・減算して、この数になったと理解して下さい。管理目的という用語は使用されなくなり、単に目的というようになりました。27001とISMS認証基準(Ver.2.0)では、どのような違いがありますか。27001とISMS認証基準(Ver.2.0)の管理目的及び管理策の構成を比較してみると、以下の図のようになります。27001では、「情報セキュリティインシデントの管理」が新しい項目として加わったのですね。ISMSにおいては、インシデントをどのように予知し、それに対する予防策に繋げて行くかが重要です。セキュリティ」や「通信及び運用管理」の中に、事件・事故に関する要求事項がありました。組織がセキュリティ問題から身を守るためには、「証拠の収集」が重要です。このようなものを再整理して、新しく「情報セキュリティインシデントの管理」として位置付けたわけです。E受講生:「システムの開発及び保守」には、「取得」という用語が追加されました。この管理策は、組織が使用するシステムを開発し保守する際のセキュリティの問題を捉えていたのですが、今や自ら開発するだけでなく、いろいろな意味で取得するケースが多いため、「取得」が加わりました。E受講生:さらに、「適合性」が「コンプライアンス」という用語に変わりました。T講師:これは、管理策の中で法的なコンプライアンスに言及している点からであると考えられます。E受講生:有難うございました。27001で追加された(管理)目的について教えてください。27001規格で追加された(管理)目的についておうかがいします。T講師:わかりました。27001規格(以下、新規格)では、以下の項目が追加されています。情報セキュリティインシデントの管理及びその改善E受講生:新規格では、「人的資源のセキュリティ(A.8)」の構成が変更になり、1)雇用前、2)雇用期間中、3)雇用の終了又は変更という三つの目的になりましたね。ISMS認証基準Ver.2.0(以下、従来基準)では、附6.(1)が雇用中、雇用後も含めた人的セキュリティ、(2)が教育・訓練、(3)が要員に対して協力を求める事件・事故への対処という構成でした。ところが、昨今のインシデントの発生状況からみてもわかる通り、インシデントへ対処するには、まさに人的セキュリティであることが認識されてきました。管理の明確化が図られました。E受講生:新規の目的として「第三者が提供するサービスの管理」「技術的ぜい弱性管理」が追加されています。T講師:前者は、第三者が提供するサービスの問題、それに対する監視及びレビューの問題、さらに第三者が提供するサービスの変更に対する管理という形で、従来基準の「外部委託による施設管理(附8.(1)6)」を置き換えて内容が拡張・強化されました。後者は、ぜい弱性の情報のタイムリーな入手、内容の検討及び対応が強調されています。提供されるぜい弱性の技術的なアップデートの要求事項であり、そのような情報はタイムリーに入手して対応しなければならないという内容です。E受講生:「電子商取引サービス」については、従来基準の「情報及びソフトウェアの交換(附8.(7))」が、新規格の「情報の交換(A.10.8)」と「電子商取引サービス(A.10.9)」に分割されたとみてよろしいのですか。T講師:その通りです。情報交換に対応する管理策が再整理されました。E受講生:「情報セキュリティインシデントの管理及び改善」は、従来基準で散在していたインシデント管理の要求事項が、一連の管理策として整理されたものですね。ここは、ISO/IEC18044(情報セキュリティインシデント管理)で規定されている事故管理のPDCAを基本に、要求事項として章立てされた箇所です。発生したインシデントに関する対応、インシデントの管理に対してどのような体制をとるかという観点で、二つの目的でスタートしたものです。報告の対象が「事件・事故」から「事象」と広くなっている点に注意が必要です。E受講生:有難うございました。27001で変更・削除された管理策の概要について説明してください。27001規格で変更・削除された管理策で、特徴的な点について教えて頂きたいと思います。T講師:わかりました。27001の用語を用いて説明いたします。E受講生:それでは、項目毎に見ていきます。目的が変更になりました。T講師:情報セキュリティのための経営陣の方向性及び支持を、情報セキュリティ基本方針として規定する際に、「事業上の要求事項、関連する法令及び規則を考慮すること」が追加されています。「情報セキュリティ運営委員会」が削除されました。「専門家による情報セキュリティの助言」が削除されました。前者は、小さい組織にとっては実装することは難しいだろうという理由で削除されました。後者は、必要とみなされず削除されました。本管理策の意図は「情報セキュリティに対する経営陣の責任(A.6.1.1)」「専門組織との連絡(A.6.1.7)」に組み込まれています。「外部組織」に変更になりました。T講師:外部組織とは、1)第三者、2)外部委託、3)顧客を意味しますが、それぞれに関するセキュリティということで整理がなされました。これに伴い、新しく「顧客対応におけるセキュリティ(A.6.2.2)」が追加されましたが、顧客が組織の情報又は資産にアクセスする際のセキュリティの要求事項への対処についての管理策です。資産の管理責任者が明確化されました。資産の利用を許可すること及び利用者自身の責任が明確化されました。T講師:資産管理についての重要事項を明確にする必要から、「資産の管理責任者(A.7.1.2)」「資産利用の許容範囲(A.7.1.3)」の二つの管理策が追加されました。物理的及び環境的セキュリティ「その他の管理策」が、他のカテゴリーへそれぞれ移動しました。T講師:従来基準では、「その他の管理策」の位置付けがはっきりしていませんでした。「クリアデスク・クリアスクリーン方針」が「物理的及び環境的セキュリティ」の中の「その他の管理策」というタイトルの所にあると相応しくないため、この管理策はA.11.3.3に移動しました。新しい管理策として「外部及び環境の脅威からの保護(A.9.1.4)」が追加されましたが、自然災害及び人的災害からの物理的保護を強調しています。E受講生:よくわかりました。次回も、これ以降の管理策に関して、引き続き説明をお願いいたします。27001規格で変更・削除された管理策で、特徴的な点についての説明をお願いいたします。通信及び運用管理モバイルコードに対する管理策が追加されました。運用の一環として、「監視(A.10.10)」はログの取得・監視が強調され再整理されました。T講師:前者については、従来基準では「悪意のあるソフトウェア」に対する管理策のみであり、ウィルス対応のようなことを意図していました。これに対して、新規格では「悪意のあるコード(A.10.4.1)」及び「モバイルコード(A.10.4.2)」に対する2つの管理策となり、「モバイルコードに対する管理策」の中で、利用者とのやりとりがほとんどないままにコンピュータ間を移動するコード(例:JAVAのアプレット)の利用・管理方法(ブラウザの設定等)が強調されました。後者の監視では、特にログの取得や保護が重要であるという観点から管理策の整理がなされました。新設の「ログ情報の保護(A.10.10.3)」では、ログの機能・情報を改ざんや無認可のアクセスから保護することが強調されています。技術的な管理策が削除され、利用・管理方針のマネジメント項目となりました。サービス」といった管理策が削除され、「暗号による管理策の利用方針(A.12.3.1)」と「かぎ管理(A.12.3.2)」という形で整理されました。おける情報セキュリティの側面」となり、「情報セキュリティの側面」が強調されました。実質的には、従来基準の要求事項と大きな変化はありませんが、組織として事業継続計画なりの管理すべき枠組みの中で、情報セキュリティに関する側面にきちんと取組むべきことが明示されています。順守(A.15.1)」で、契約上の要求事項が全般的に強調されました。27001では「順守」となりました。現状、情報セキュリティで特に問題になるのが契約上の要求事項であるため、その点が明確にされています。E受講生:有難うございました。関する指針について教えてください。関する指針(JIP-ISAC101)とは、どのような文書ですか。(JIP-ISAC100)の、ISMS審査登録機関に対する一般要求事項の条項に適用する指針を示すものです。QMSもEMSも認定機関は、審査登録機関に対して認定の基準を要求するとともに、指針を提供しています。ISMS認証基準Ver.2.0の段階では、ISO化がされていなかったために、JIPDECはEA(欧州認定協力機構)が発行したEA-7/03(情報セキュリティマネジメントシステム審査登録機関の認定に関するEA指針)を翻訳して、ISMS適合性評価制度に適用できるようにしました。各審査登録機関は2005年10月からこの指針を適用しています。E受講生:審査員にとって、この指針の重要な点はどこですか。関する決定、サーベイランス及び更新審査の手順」などが示されており、この指針が審査登録機関の審査要領に反映されていることを認識しておく必要があります。E受講生:この指針では、不適合はどのように定義されていますか。T講師:不適合は『マネジメントシステムの要求事項のうち、一つ又は複数が欠けているか又は実施・維持されていないこと、あるいは組織のセキュリティ基本方針及び目標を達成するISMSの能力に関して、客観的な証拠に基づいた重大な疑いが生じる状況』と定義されています。E受講生:不適合はどのように分類されるのですか。審査登録機関は、自らの裁量で欠陥の分類及び改善領域を定めることができます。1)重大な不適合、2)軽微な不適合、3)観察事項、などに分類することができます。E受講生:審査方法については、どのように示されていますか。この指針では、審査登録機関は、組織のISMS審査を、少なくとも「審査(ステージ1)」及び「審査(ステージ2)」の2つの段階に分けて実施することが望ましいとされています。E受講生:「審査(ステージ1)」の目的や留意事項は何ですか。T講師:「審査(ステージ1)」の目的は、受審組織のセキュリティ基本方針及び目標に照らして組織のISMSを理解し、また特に当該審査に対する組織の準備状況を理解することにより、審査(ステージ2)計画の焦点を定めることにあります。1)組織の実施したセキュリティに関するリスク分析、2)適用宣言書、3)ISMSの中核を成す要素、を含むISMSの設計に関する文書を入手すること、また文書審査が含まれるが、文書審査のみに限定しないことが望ましいとされています。E受講生:「審査(ステージ2)」の目的や留意事項は何ですか。T講師:「審査(ステージ2)」は、常に組織のサイトで実施します。その目的は、1)組織が自ら定めた基本方針、目標及び手順を遵守していること、2)当該ISMSがISMS規格又は基準文書のすべての要求事項に適合していること、3)当該ISMSが組織の基本方針及び目標を実現しつつあること、を確認することにあります。E受講生:有難うございました。Q8.ISMS適用範囲の変更点について教えてください。27001の要求事項において、大幅追加の変更があった「ISMSの適用範囲」の変更について伺います。E受講生:なぜ、ISMSの適用範囲こついて、大幅な変更があったのですか。T講師:それは、セキュリティのインシデントが適用範囲の境界で起きる可能性が高く、境界の確認が重要であるからです。組織全体を適用範囲とする場合でも、組織内にあった機能をアウトソーシングすることになれば、その境界がセキュリティ上重要になります。境界の必要性については、これまでも暗に示されていましたが、現在は境界を明示的に要求しています。従って、審査は「境界」の確認から始めていくことになりますし、判定委員会においては「適用範囲」が主要な審議課題になります。E受講生:また、いかなる適用除外についても、その詳細とそれを正当とする理由を含むものとなりました。技術の特徴等が明確になることに加え、適用除外される部分の詳細と境界を明確にすることが求められます。(1.2参照)とあることから、適用宣言書の適用除外項目の理由も精査することが求められます。関する指針では、「ISMSの適用範囲」について何か示されていますか。登録範囲において、「審査登録機関は、1)組織の情報セキュリティのリスクアセスメントが組織の活動を適切に反映しており、ISMS規格又は基準文書の規定する活動の境界まで含めていることを確認すること、2)組織の適用宣言書の中にこのことが反映されていることを確認すること、が望ましい」、「ISMSの適用範囲に完全には含まれないサービスや活動とのインターフェイスは、審査登録の対象となるISMS内で取り扱うことが望ましく、組織の情報セキュリティのリスクアセスメントに含めることが望ましい。した状況の一例には、他の組織と施設を共有するケースがある(例えば、コンピュータや通信システムなど)」とされています。この点からも、境界の確認が重要であり、審査は適用範囲の境界の確認から始まると考えられます。E受講生:よくわかりました。Q9.有効性の測定に関して、どのような要求事項がありますか。E受講生:今回は、「有効性の測定」に関する要求事項について質問します。ISMSの導入及び運用d)において、“選択した管理策又は一群の管理策の有効性をどのように測定するかを定義する”ことになりました。T講師:一群の管理策とはグループのことですが、測定には個々で行う方法もグループで行う方法もあります。測定の目的は、リスクが本当に減ったかどうか測定することにありますから、まずリスクを減らす管理目的は何かを知ることから始めると良いでしょう。実際に審査の場面では、組織がリスクアセスメントの結果から管理策を直接選択していることが多いため、管理目的を選択している認識が薄い場合がしばしば見受けられます。識別されたリスクに対して、そのリスクに対応するための目的である管理目的をしっかりと認識できれば、管理目的を達成するためのいくつかの管理策が導かれるはずです。E受講生:そういう意味では、管理策の有効性とは、管理目的の達成度と見ることができるわけですね。T講師:その通りです。その測定方法は、定量的に扱えるものもあれば、定性的で統計的に処理する必要があるものもあります。その測定法を定義することが要求事項となったわけです。ISMSの監視及びレビューb)では、マネジメントシステムの有効性に関する定期的レビューの中に”有効性測定の結果”が加わりました。ここでは、マネジメントシステムの有効性把握のために、日常的なセキュリティ管理策の測定結果を判断材料とすることが明記されました。c)では、“セキュリティ要求事項を満たしていることを検証するために、管理策の有効性を測定する”ことになりました。T講師:これにより、日常的なセキュリティ管理状況の把握が明確になりました。d)では、リスクアセスメントをあらかじめ定めた間隔でレビューする際に”導入した管理策の有効性”を考慮することが追加されました。残留リスク及び特定したリスク受容可能レベルをレビューする場合に、特に“導入した管理策の有効性”に関する変化を考慮する必要性の明記です。文書化に関する要求事項・一般g)において、“管理策の有効性をどう測定するかを記述するために、組織が必要とする文書化した手順”が追加されました。T講師:リスクアセスメントの方法と有効性の測定結果の文書化要求です。e)で追加されたようにアウトプットに関係する決定及び処置に含める、ことになりました。E受講生:どうも有難うございました。Q10.是正処置及び予防処置における要求事項の変更点について教えてください。E受講生:「是正処置」及び「予防処置」の変更点について伺います。是正処置において、“ISMSの導入及び運用に関連する”が“ISMSの要求事項に対する”に変更となりました。a)では、“ISMSの導入及び運用における不適合の識別”が”不適合の特定”に短縮されました。この変更により、是正処置の対象が広くなったと見ることができます。3)「障害記録」では、“障害については報告を行い、是正処置をとること”として、ISMSの運用に関連した是正処置となっていました。情報システムの運用にかかわる障害では、一般に障害報告書が起票され、その中で不適合を特定して是正処置手順をとることになりますが、その場合に是正処置報告書を使用することは現実的でありません。そこで、運用実態に合わせて、是正処置をとる事項を決めることができるようになりました。27001で当該の管理策は、A.10.10.5「障害のログ取得」であり、”障害のログを取得し、分析し、また、障害に対する適切な処置をとらなければならない”となっています。予防処置においては、“不適合の発生を未然に防ぐための処置”が“ISMSの要求事項に対する不適合の発生を防止するために、起こり得る不適合の原因を除去する処置”に変更となりました。b)に“不適合の発生を予防するための処置の必要性の評価”が追加されました。T講師:ISMSは、ほとんどの場合、予防処置がいかに機能するかによってマネジメントシステムの継続的な改善が必要となります。そのため、予防処置が追加の管理策となることが多く見られます。リスクアセスメントの結果からリスクを受容可能な水準まで低減することで、リスク対応してリスクマネジメントが実施されているとすれば、追加の管理策はさらにリスクを低減することになります。従って、その追加の管理策の予防処置としての必要性について評価しないと、過大なリスク対応となってISMSの主旨から外れることになります。予防処置は、一拍おいて、その処置をすべきかどうか経営陣の判断が必要であることを意味しています。3.5”変化したリスクの識別及び大きく変化したリスクに対して確実に注意が払われるようにすること”の項目は削除されたわけですか。これは要求事項を規定することでないので削除されました。27001において、”組織は、変化したリスクを特定し、大きく変化したリスクに注意を向けて、予防処置についての要求事項を特定しなければならない”と整理されました。1)“予防処置の優先順位は、リスクアセスメントの結果に基づいて決定しなければならない”との要求事項、及び2注記の”不適合を予防するための処置は、多くの場合、是正処置よりも費用対効果が大きい”との規定に変更はありません。E受講生:よくわかりました。27001の用語で使い方を注意すべきものがありますか。27001の用語で使い方を注意すべきものがあれば教えてください。「基本方針」があげられます。d)に整理されて記述されました。E受講生:「ISMS基本方針」と「情報セキュリティ基本方針」は、どのような関係にあるのですか。b)の注記で“この規格の目的のために、ISMS基本方針は、情報セキュリティ基本方針を包含する上位概念とする。これらの方針は、一つの文書に記載することができる。”と規定されています。policy”を「ISMS基本方針」との用語で使用するようです。d)では、“「情報セキュリティ基本方針」に適合することの重要性を組織に伝える”ことが要求されていますが。T講師:これは、附属書A.5.1「情報セキュリティ基本方針」に関係しています。附属書Aはセキュリティガイドラインとして構成されています。ガイドラインを実践的に取り組むとマネジメントシステムを導入することになりますが、基本方針はあくまでも情報セキュリティの基本方針です。従って管理策としては、経営陣が承認した「情報セキュリティ基本方針」を、全従業員及び関連する外部関係者に公表通知することとしています。「ISMS基本方針」は「情報セキュリティ基本方針」にマネジメントの要素を加えたものですから、行動指針を示す「情報セキュリティ基本方針」にマネジメントの要素を加えればよいことになります。その要素は、ISMSマニュアルそのものであることから、「情報セキュリティ基本方針」を包含したISMSマニュアルが「ISMS基本方針(ポリシー)」であると主張されても良いと思います。E受講生:他にも使い方を注意すべき用語がありますか。他の用語では「目的」が該当します。7.1、8.1に整理されて記述され、すべてに「目的」があてられることになりました。E受講生:有難うございました。27001における情報セキュリティインシデント管理について教えてください。27001附属書Aの管理策において、「情報セキュリティインシデントの管理」の項目が新たに起こされたことは特徴的です。ISMSではインシデントをどのように予知し、それに対する予防策に如何に繋げて行くかが重要です。組織がセキュリティ問題から身を守るためには、証拠の収集・保全も必要です。そこで、旧の認証基準で散在していた管理策を再整理し、新しい項目として位置付けられました。27001の情報セキュリティインシデント管理の構成は以下の通りです。18044(情報技術-セキュリティ技術-情報セキュリティインシデントマネジメント)を基本に置き直してあります。18044は邦訳がありませんが、そのプロセスアプローチを図示すると以下のようになります。E受講生:この中にある「ISIRT」とは何ですか。Team)とは、組織の中で熟練して信用されたメンバーであり、情報セキュリティインシデントを取り扱うチームです。E受講生:「フォレンジック分析」とは、どのようなものですか。T講師:フォレンジック(Forensic)とは「法の」とか「法廷の」という意味の形容詞であり、フォレンジックスという名詞になると「法医学」や「科学捜査」などを意味します。ログの改ざん・破壊など、これまでの手法では証拠を検出することが困難な被害を受けたコンピュータに対して、高度なツールによってデータを調査・分析することで、不正アクセスの追跡を行う手段です。E受講生:有難うございました。Q13.インシデント管理における危機発生時の対応ポイントは何ですか。E受講生:情報セキュリティインシデント管理において、危機が発生してしまった局面では、どのようなことに留意する必要がありますか。T講師:危機が発生した場合、必ずマスコミ報道が付随することを忘れないでください。消費者や企業関係者は、マスコミ報道によって危機の状況を知り判断しますので、マスコミが納得しない場合には、消費者や社会の納得が得られないことになります。初期のマスコミ対応の失敗が、事態を一層深刻にしたり長期化させるきっかけになるため、緊急時における適切なマスコミ対応は必須事項です。マスコミ対応を考慮した危機管理体制を図示すると以下の通りです。E受講生:この中にある「ポジションペーパー」とはどのようなものですか。T講師:ポジションペーパーとは、起こっている事態の経緯を正確に記録すると同時に、企業の立場を明確に表明したペーパーです。ポジションペーパーの作成は、マスコミ対応の基本的項目として欠かせないものです。その他に、マスコミ対応の基本姿勢として、以下のようなものがあります。1)取材は逃げずに、堂々と応じる。2)「話せる内容」と「話せない内容」を明確に区別する。3)企業の視点や企業論理に立ったコメントは述べない。4)緊急記者会見を有効に活用する。E受講生:実際に危機が発生した際のポイントについて教えてください。危機が発生したときの対応のポイントは以下の通りです。情報セキュリティ事象の判断を誤ると大きなダメージを招きます。この場合、担当者個人の判断ではなく、企業として判断する必要があります。日頃から、現状を確認し今後の対応に生かすという姿勢が重要です。発生の有無だけでなく、その大きさや程度も検討します。予測がきちんとできていれば、最善の対応により二次的危機を防ぐことができます。作業を分担してスピーディに進めます。適切な対応のためには、日頃からこのような事態を想定したトレーニングが必要です。4)トラブル発生要因のチェック特に、電話対応を誤った場合には、顧客の怒りを助長するので要注意です。電話でのクレーム内容は録音するなど、「クレームの陰に訴訟あり」に備え、確認と記録を怠らないようにします。適切なクレーム対応によって相手が納得すれば、新たな危機には発展しないことが考えられます。不誠実な対応によって、小さなクレームが大きなクレームに変わることを防ぎます。E受講生:よくわかりました。JRCAへの移管について教えてください。マネジメントシステム審査員評価登録センター(JRCA)」に移管されました。この体制の移行は「審査員登録機関の業務は認定の対象業務であり、認定機関が行うべきではない」というISO/IEC17011(適合性評価-適合性評価機関の認定を行う機関に対する一般要求事項)の規定に伴うものです。JRCAは今後、認定機関であるJIPDECから独立した要員認証機関として、ISMS審査員評価登録を行います。JRCAは、従来から行っていた品質システム審査員に合わせて、ISMS審査員の評価登録も行うことになり、組織名称が以前の「品質システム審査員評価登録センター」から改称されました。変更があるのでしょうか。T講師:当面の間は、登録基準等に変更はありません。全ての要員認証機関はISO/IEC17024(適合性評価-要員の認証を実施する機関に対する一般要求事項)への対応を求められています。ISO/IEC17024は要員認証の信頼を確かにすることを狙いとした規格で、ISMS審査員評価登録も例外ではありません。従って、2007年度中に、ISMS審査員評価スキームに大きな変更があると考えられます。維持・更新手続きに変更がありますか。T講師:若干の変更があります。1)連絡先、関連書類の送付先がJRCAに変更になりました。2)JIPDECの申請書類は使用できません。JRCAのホームページに、JIPDECとほぼ同様のレイアウトの申請書類が公開されていますので、それを使用します。E受講生:ISMS認証基準(Ver2.0)審査員からISO27001審査員への移行申請については、どうなりますか。T講師:手順の変更はありません。移行手続きは、JRCAでの評価に要する期間を考慮して、2007年10月19日までとなりました。JIPDECでは2007年11月19日までとなっていましたので、1ケ月前倒しとなりました。ISMS認証基準(Ver2.0)審査員の資格は、2007年11月20日以降は失効となりますので、注意が必要です。E受講生:どうも有難うございました。Q15.事業継続管理について教えてください。E受講生:今回は「事業継続管理」について、お聞きします。事業継続管理の定義から教えてください。Management)」とは、『組織を脅かす潜在的な影響を認識し、利害関係者の利益・名声・ブランド及び価値創造活動を守るために、復旧力及び対応力を構築するための有効な対応を行うフレームワーク、包括的マネジメントプロセス』であると定義されています。27001では、附属書A管理策の14に「事業継続管理」に関する管理策が規定されています。この管理策には、どのような特徴があるのですか。T講師:附属書Aの他の箇条で規定されている管理策は、情報セキュリティリスクがインシデントとして顕在化することを防止する目的で平常時に実施する『事前対策』です。利用による臨時的な事業運用、中断前の状態への復帰と事業再開を目的として実施する『事後対策』であることに特徴があります。