CISO2019.12.18コピーしましたPR全4569文字サイバーセキュリティー管理には複数の国際規格がある。標準化された枠組みを参考にすれば、態勢を強化しやすくなる。三菱UFJフィナンシャル・グループ(MUFG)が活用する規格を紹介する。「しっかりとしたサイバーセキュリティー管理態勢を築くために具体的に何をすべきなのか」。世界中の様々な団体がこの課題に取り組み、体系的なフレームワークやガイドラインを発行しています。自社の組織やサービスを守るために何をすべきかを考え、改善を進めていく際に、こうしたフレームワークやガイドラインを活用すると近道をたどれます。フレームワークやガイドラインは広く社会的に標準化された枠組みですので、いわば「共通言語」としても機能します。組織内外のステークホルダーと認識を共有したり協働したりするのに有効です。主なセキュリティー規格を紹介します。情報セキュリティー管理態勢を構築する際に、まず参照すべき規格と言えるでしょう。維持するための管理策がまとまっています。27001は情報セキュリティー全般の組織的な管理をスコープにしていますが、「事前に防ぐ」タイプの平常時の管理策が中心です。27001を補強する必要があります。Top20)」も、非常時のインシデント対応や業務継続にかかる内容は限定的です。加えて、ガバナンスやリスク管理といった組織的な管理策に関してもスコープ外です。技術的なセキュリティー管理策のガイドラインとして大変参考になるのですが、それだけでは不十分です。近年のサイバーセキュリティー管理では、非常時の備えが求められています。サイバー攻撃は非常に高度化・巧妙化しており、完全に防ぎきることが不可能だからです。不審な兆候の検知、インシデント発生時の対応、業務継続や復旧といった、有事への備えや対応の重要性が増してきているわけです。(NIST)が2014年2月に発行した「サイバーセキュリティーフレームワーク」です。Cybersecurity(重要インフラのサイバーセキュリティーを改善するためのフレームワーク)」です。NISTは米国の重要インフラ事業者のサイバーセキュリティーリスク管理を改善するために策定しました。どんな業界・組織でも利用できるようにデザインされています。ポイントは技術や環境が変わっても参照できる「フレームワーク」である点です。自組織のプロファイルや外部の脅威環境の変化に合わせて「何をやるべきか」を考え、管理策を具体化し、リスクベースで柔軟に適応し進化させていくための枠組みとして提供されています。前述の通り、ITは日々進歩し、攻撃側の能力も日々高度化しています。新しいデジタルチャネルやプラットフォームの開発や利用など、守るべき情報資産やサービスの範囲も拡大しています。国家機関や犯罪組織など強力な攻撃者が台頭しており、攻撃基盤や機能の分業などが進んでいます。NISTのサイバーセキュリティーフレームワークより以前の、固定的なセキュリティー規範ではもはや太刀打ちできなくなってきていると言っても過言ではありません。5つの機能、23のカテゴリー、108項目のサブカテゴリーから成ります。「何をやるか」を俯瞰(ふかん)的に、また構造的に理解しやすい特性があります。当社はNISTのフレームワークをセキュリティープログラムの企画管理推進や社内の認識共有、啓発などに活用しています。この記事は有料会員限定です「日経コンピュータ」定期購読者もログインしてお読みいただけます。現場の負担軽減を!医療界でのAWS活用法500万社が導入。情報銀行の成り立ち、事例、現状課題やその行方を網羅。経営戦略である以上、「会計」の知識やスキルが欠かせません。