Part2に基づく認証制度のガイドを紹介した。ISMS構築作業におけるマネジメントの枠組みの確立について、最も狙いとするところであり、かつ時間を有するプロセスが、「リスク評価を行う」「管理するリスクを決定」「実施すべき管理目的と管理策を選択する」という項目である(図1参照)。これが今回と次回にかけて説明する「リスクアセスメント」および「リスクマネジメント」というプロセスである。前回、ISMSを導入するということは、認証基準に記載されている詳細管理策を安易に選択すればよいわけではない点を挙げた。必要以上の投資を避けるためにも、何を管理策として取り入れるべきかは、要求されるセキュリティ要件やリスクアセスメントなどを通じて決定することが肝要であることを理解いただけただろう。認証取得審査の際は、情報資産に対してどのようなリスクを想定し、それに対して適切な管理策を選択しているかということが審査される。それらを実装・運用し、さらに、定期的に見直す体制などを整備しているかということを客観的に審査されることも解説した。Part2の認証取得のためには、リスクアセスメントに基づくリスクマネジメントの実施が最も重要であり、不可欠であることが分かるだろう。リスクアセスメント、リスクマネジメントから期待される効果リスクアセスメントの実施で期待されることは、個々の情報資産が持つ「リスク」と「リスクに対する適切な管理策」および「管理策に投じるべき費用」を識別することである。基本的(理想的)には、リスクは発生時の「予想損失額」と「発生頻度」から求められ、下記のような数式で表される。『発生頻度(回数/年)』リスクが大きいということは、情報資産にダメージ(悪影響)を与える可能性が高く、その影響力も大きいということであり、リスクが小さいということはその逆である。同額のセキュリティ対策費用を投ずるなら、リスクが大きいものから行うのが妥当と考えられる。小さなリスクに対して、多大な資産を投じてセキュリティ対策を施すのは効果的ではない、いわゆるコストパフォーマンスが悪いといえる。リスクを評価するとは、情報資産が持つ固有の弱点(脆弱性)や脅威を明確にする過程を含む。そのため、リスクが把握できると、それに対して必要投資額を含む適切な対応策(セキュリティ管理策)を当てることが可能になる。いい換えれば、リスクを持った情報資産を保護するには、その情報資産が持つ価値や脅威、脆弱性を明らかにして、リスクの大小を判別して適切な対策を取らなければならない。後述するようにリスクは動的に変化するものなので、適宜リスクアセスメントを行い対策(管理策)の実装状態などをレビューするリスクマネジメントが必要になってくる。リスクアセスメントの手法さて、上記のような考え方でリスクは定義されるものの、「予想損失額」や「発生頻度」をどう見積もるかが問題となってくる。ことは、実務的には困難であろう。「事故そのものもあまり認識していないので、その発生頻度が分からない」であるとか、「事故時の損失額が毎回異なるので見積もれない」などの理由からである。このように、すべてのリスクを定量的に把握することは、現実的ではない。BS7799ではリスクアセスメント手法については、特に定めてはいない。すべての情報資産に対し、どのケースにでも適用できるベストな方法がないのも事実である。BS7799とリスクアセスメントしかし、BS7799が推奨するリスクアセスメント手法は存在する。13335(GMITS)」に記載された方法であり、これをRAメソドロジーと呼称している。これらは、上記の手法の「予想損失額」といった定量的な評価方法に対して、定性的または相対的な手法として知られている。対象となる情報資産の価値や重要度を階層化(レベル分け)し、また、それらに対してどのような脅威があり、その脅威を誘引してしまう弱点、または脅威に対する管理策の不備の度合いなどを示す脆弱性を評価することで、リスクを定性的または、相対的に評価する方法がそれに当たる。13335(GMITS)この手法を十分に理解し、有効に使用するには、そもそも「脅威とは?」「脆弱性とは?」「リスクとの関係はどうなっているのか?」「一連のセキュリティマネジメントシステムを構築するうえで、どのような役割を占めるのか?」といったことを理解する必要がある。Security:ITセキュリティマネジメントのためのガイド)である。Standardization(ISO)によって作成された。標準を設定することを目的としている。従って、本ガイドで取り扱う情報とは、基本的には電子媒体の情報のことである。BS7799やISMS認証基準などが対象としている“情報セキュリティ”の情報とは、電子媒体の情報以外にも非電子媒体である紙に印刷された情報であるとか、会話、評判といったところまで含まれる。このため、GMITSのカバーする適用範囲は視野的には狭いが、リスクアセスメント、リスクマネジメントの考え方を理解するには、十分であろう。)としてIT関連のトピックを広い範囲で網羅するように構成された。現行のバージョンでは、セキュリティポリシーの構築、リスク管理、セキュリティの実装などの項目も網羅されている。「機密性(confidentiality)、完全性(integrity)、可用性(availability)を維持すること」と比較するとより広い範囲または、詳細な範囲をカバーしている点もGMITSの特徴である。GMITSは2002年8月現在、5部構成になっており、以下にそれぞれの概要を示す。概念の理解に役立ついくつかのモデルの概要説明である。ITセキュリティマネジメントの概念として、以下のような要素を掲げ、それぞれの役割や重要性を解説している。偶発事件の検出および対応ここで、セーフガードとは、リスクを低減するための実践、手順、またはメカニズムと定義されており、いわゆる管理策のことを指している。セキュリティマネジメントとは、上記に挙げた個々のプロセスによって構成される継続型のプロセスであることを解説している。リスク、セキュリティ要求事項、セーフガード(管理策)の7つの要素の関係などを示すいくつかのモデルが紹介されている(図2)。Security)第2部は、ITセキュリティマネジメントを効果的なものにするために重要である要素を挙げ、組織の方針に基づくセキュリティポリシーやIT戦略に沿ったマネジメントプロセスを構築することがポイントであることを示している。下記のような担当者を対象にその役割や責任について解説している。関して、監督責任を負うITの運用管理者ITシステムを有効活用していくための諸活動について責任を負う管理者さらにここでは、すべての組織に対して上記に関する役割や責任をそのままの形で適用できるものではないというスタンスを示しながら、小規模の組織など、機能を完全に実行するための資源(人材)が不足しているような状況下では、基本的な概念および機能を組織に適した方法で取り扱うことが重要である、としている。Security)第3部では、ITセキュリティマネジメントにとって重要ないくつかの手法が検討されている。これらの手法は、第1部で提供された概念とモデルおよび第2部で考察したマネジメントプロセスと責任に基づくものであり、いわば、第1部と第2部のサマリーであると考えられる。第3部では、リスクアセスメントを行うに当たりその詳細が記述されており、取り得る4つの戦略(ベースラインアプローチ、非形式的アプローチ、詳細リスク分析、組合せアプローチ)のメリットおよびデメリットがそれぞれ示されている。ここで記述されている4つの戦略とは次のようなものである。ベースラインアプローチあらかじめ一定の確保すべきセキュリティレベルを設定し、実装するのに必要な対策を選択し、対象となるシステムに一律に適用する。非形式的アプローチ組織や担当者の経験や判断によってリスクを評価する。セキュリティ要件を識別し、評価する。組み合わせアプローチベースラインアプローチと詳細リスク分析を組み合わせることを推奨している。ベースラインアプローチだけでは、本来よりセキュリティの高い対策が実装されるべきシステムについて対応策が不十分になる可能性があることや、詳細リスク分析をすべてのシステムに適用することは、効率の観点から現実的でないからである。第3部ではリスクアセスメントがPlan、Do、SeeのITセキュリティマネジメントにおけるPlanに相当するプロセスの一部であることを解説している(図3)。する体制や仕組みのことを指している。safeguards)第4部は、「セーフガードの選択」というタイトルで、その選択の前提となる第3部に記述したリスクアセスメント技法に関連させたセーフガードの選択方法を記述している。そのセーフガードを選択するに当たり、以下のケースを想定して区分している。詳細リスク分析の結果に基づき選択する場合また第4部では、上記のどの手法を取るにせよ、換言すると、後に詳細リスク分析を実施するか否かにかかわらず、最低限、いくつかの基本的はリスク評価を実施することの必要性が記載されている。それらは、以下のようなものである。どのようなITシステムを対象としているのか(スタンドアローンPCかネットワーク接続をしているものかなど)ITシステムの設置場所および周辺の環境条件はどうなっているのかすでにどのようなセーフガードが実装されているのか、または計画されているのか実施した評価結果がITシステムにおけるベースラインアプローチのセーフガードを選択するのに十分な情報を提供しているのか第4部では、セーフガードについての詳細な記述があるが、そのほかのセーフガードを扱っているいくつかの公開文献やマニュアルが参照可能であるように記載されている。全組織規模を対象としたベースラインとなるセキュリティレベルの開発方法などの説明が加えられている。security)第5部では、ITシステムを外部ネットワークに接続する組織に対するガイドラインについて記述されている。再検討の準備などである。これらのうち、リスクアセスメントを効率よく行うために論じられているのは、やはり第3部:ITセキュリティマネジメントのための手法であろう。ベースラインアプローチと詳細リスク分析を組み合わせた“組み合わせ手法”が経験上からも有効である。これらの手法はもう少し掘り下げて次回紹介するつもりであるが、詳細リスク分析で考慮すべきセキュリティ要件について最後に説明する。情報セキュリティにおけるセキュリティ要件とは情報資産を何からどのように守るかという要求事項を意味し、次の3つに大別される。)業務(ビジネス)上の要件(企業戦略、納期など)「脅威・脆弱性にかかわる要件」とは、情報資産の持つリスクを識別し、かかる脅威から情報資産を守るために必要な条件のことである。機密情報の漏えいという脅威に対して、機密情報に対するアクセスコントロールや暗号化を施していないなど、その脅威を誘引してしまうような弱点(脆弱性)を識別し、それをどのように守るかを検討することである。Agreement)などの契約義務も含まれてくる。ある情報の処理が法律や条例に違反したやり方であれば、当然リスクも高く、事業継続にかかわる問題になることは、近年の不祥事ニュースからも明らかである。このことからも、情報資産に対して、どんな規制があるのかを明確にすることは重要である。「業務(ビジネス)上の要件」とは企業の戦略・方針などに基づく不可欠な条件であり、企業が企てた事業運営に沿った要求事項のことである。このことからも、リスクを評価するうえで、一担当者が、すべてのセキュリティ要件を把握し、対策を講じていくことは、大変困難である。一連のISMSの構築同様、リスクアセスメントやリスクマネジメントを実施するためには、各部門からの代表者による運営委員会などを設置することや専門家を含めることが望ましい。ポイントをつかむには、トレーニングを受講することも有用である、必要があれば、セキュリティポリシーアライアンス(http://www.policyalliance.com)を参照してほしい。次回は以上3つのセキュリティ要件を念頭に具体的なリスクアセスメント、リスクマネジメントについて紹介していく。シニアコンサルタント。Institution)認証BS7799スペシャリスト。システムの設計、開発などを担当。ネットワーク・セキュリティ・コンサルティングに従事。現在、セキュリティポリシー構築支援ツールである「M@gicPolicy」の開発やリスクアセスメント・リスクマネジメントのための「RAソフトウェアツール」の日本語化やISMS構築のためのコンサルティング業務や情報セキュリティ監査に携わっている。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。