:藤江一正)は、2005年8月からIPAのWebサイトで公開している「情報セキュリティ対策ベンチマーク」の診断の基礎データを最新のデータに入れ替え、バージョン4.1として新たにサービスを開始しました。URL:http://www.ipa.go.jp/security/benchmark/情報セキュリティ対策ベンチマークは、組織の情報セキュリティ対策の取組状況(27項目)と企業プロフィール(19項目)を回答することにより、他社と比較して、セキュリティ対策の取組状況がどのレベルに位置しているかを確認できる自己診断システムです。27001:2006(*2))附属書Aの管理策(*3)をベースに作成しており、ISMS適合性評価制度を用いるよりも簡便に自己評価することが可能です。本システムのバージョン4.1では、情報セキュリティを巡る環境変化や対策レベルの変化を勘案し、診断の基礎データを最新2年5ヶ月分のデータに入れ替えました。英語バージョン4.1も同時に公開しました。バージョン4.1では、情報システムを取り巻く環境の変化に伴い、組織の情報セキュリティ対策の取り組み状況に関して新たに2項目の質問(*4)(後述)を追加しました。この2つの質問に関しては、バージョン3.4で参考質問として回答いただき情報蓄積したものを基礎データに反映してあります。情報セキュリティ対策ベンチマークでは、Web上の質問に答えると、散布図、レーダーチャート、スコア(点数)などの診断結果が自動的に表示されます。本システムで実際に診断を行った企業の診断データに基づき、自社の対策状況を他社の対策状況と比較することができます。2012年8月31日現在、利用件数は2万4000件を超え、診断の基礎データとして提供されたデータの件数(再診断を含む)は8,377件です。バージョン4.1では、2010/4/1~2012/8/31の2年5ヶ月間に提供された診断データの重複等を整理し、1,778件を診断の基礎データとして用います。この1,778件の診断データを統計処理した情報を参考資料1にまとめました。2.52MB)には以下のデータを掲載しています。496sKB)は紙ベースで診断するためのドキュメントです。情報セキュリティに関する規程や対策を策定する際に、組織の重要な資産に関する危険性や脆弱性について評価していますか。(このような手順をリスクアセスメントといいます。リスクアセスメントの手順を確立し、定期的に実施することが、費用対効果の高い情報セキュリティ対策を実施する上で重要な要素となります。資産に関して存在する危険性や脆弱性が、組織として許容範囲の危険性あるいは脆弱性であるか否かを明確にすることで、守るべき(管理すべき)資産を明確にすることができます。いった分析・評価・検討を実施することをリスクアセスメントといいます。資産を守るためのセキュリティ対策に掛かるコストを最小限にしたり、セキュリティ対策の優先度を決定したりするために必要なものとなります。無作為にすべての資産に対してセキュリティ対策を検討・実施するのは、コスト面や管理面で無理があります。対策すべき(管理すべき)資産を明確にし、それぞれの資産に応じた対策を検討・実施する必要があります。これらの分析・検討を実施することがリスクアセスメントです。以下にリスクアセスメントの大まかな手順を示します。(1)まず組織が管理する資産の洗い出しが必要です。重要なデータや関連するシステムのバックアップに関する手順を文書化し、実施していますか。(データの損失やシステム障害事故などからの迅速な復旧のために、バックアップの計画を策定し、システム化しておくことは非常に重要です。重要なデータやそれに関連するシステムのバックアップが正しく行われていない場合、システム障害の際にこれらを復旧することができず、ビジネスに深刻な影響を与える恐れがあります。)説明データの損失やシステム障害事故などからの迅速な復旧のために、バックアップの計画を策定し、システム化しておくことは非常に重要です。バックアップが正しく行われていることを常に監視したり、バックアップが正常か確認するために復旧テストを実施したりする必要もあります。重要なデータやそれに関連するシステムのバックアップが正しく行われていない場合、システム障害の際にこれらを復旧することができず、ビジネスに深刻な影響を与える恐れがあります。組織内のIT化が進み、いろいろな情報資産が存在します。これらの資産の中には企業活動にとって重要なものもあるでしょう。これらの資産が何らかの理由で使えなくなったら、ビジネスに深刻な影響を与えることになります。情報資産としてのデータやシステムは常に損失する危険性があります。いった危険性に対する対策がバックアップです。損失することを防ぐ対策も必要ですが、損失による被害を最小限にするための対策も重要です。したがって、損失する可能性のあるものは、事前にバックアップを行うことが重要となるわけです。組織内にあるパソコンや記憶媒体は、絶対に壊れないと考えている方も多いことでしょう。確かになかなか壊れません。コンピュータウイルスに感染したり、机の上から床に落下させたり、ノートパソコンの前で飲んでいた飲み物をパソコンにかけてしまったり、耐用年数を過ぎてしまったハードディスク装置が異音をたてて止まってしまったとか、いろいろな原因で壊れることがあるわけです。厄介なのは、利用者が誤って消してしまったとか、別のデータで上書きしてしまったとか、うっかりミスや誤操作によって業務に必要なデータを消失させる可能性です。「情報セキュリティ対策とは、情報資産を保護することである」とするならば、『バックアップは最後の砦』と言える重要な対策となります。何らかの事故が起きたときの復旧の手段が、そのバックアップによって得られるわけですから、事故そのものを防ぐことができなくても、バックアップを利用することで、事業を継続することができるので、情報資産を保護したことにつながるわけです。この情報セキュリティ対策にとって重要なバックアップも、その運用方法や管理方法によっては使いものにならない場合があります。使えないバックアップは意味がありません。対策のポイントにしたがって、確実な管理・運用が必要となります。変更された企業プロフィールの質問について数値入力が必要であった旧質問の1~2および13,14については、数値を選択できるように変更しました。そのため質問数が15から19に変更されました。:ISMS適合性評価制度における認証基準。附属書Aの管理策:情報セキュリティマネジメントシステム構築に必要な情報セキュリティ対策が133項目記載されています。追加した2項目の質問は以下のとおりです。5010005007126)。