itLinkedInPocketCopy今回はITパスポートのセキュリティ管理に関して学習していきます。情報セキュリティ管理・まとめセキュリティ管理(マネジメント)情報セキュリティには技術の面だけでなくシステムを利用する側の管理も重要になってきます。どんなにアンチウイルスソフトを入れたり最新のファイアウォール機器を導入してもそれですら対応できない新型のウイルスや新しい攻撃も日々生み出されています。キューまさに鼬ごっこやなそうなってくると最後の砦は人です。仕事を行う上でのセキュリティに関する方針をはっきりさせながら、継続的に改善しリスクを減らすことが重要ですね。情報セキュリティは3つの要素(CIA)から成り立っていると言われています。それぞれ見ていきましょう。情報を不正アクセスから守り、漏洩や改ざんなどが行われないようにすることを機密性(Confidentiality)と言います。アクセスを許可された人間だけが情報を利用できるように設定する必要があります。情報に矛盾がなく内容が正確であることを完全性(Integrity)と言います。改ざんなどが発生した場合、完全性が脅かされたことになります。情報の内容に欠落や改ざんが発生しないように整合性が取れる状態を維持する必要があります。情報システムを利用したいときに利用できることを可用性(Availability)と言います。サーバがダウンしてしまった、データを不正に削除されてしまった等の理由でシステムが利用できないと可用性が損なわれたことになります。システムを二重化して冗長化する、バックアップするなどによって外部からの攻撃や障害に備えておく必要があります。英語の頭文字をとってCIAって言うんや情報セキュリティポリシこの職場では、情報セキュリティに関してこのような方針で進めていく、と宣言するのが情報セキュリティポリシになります。具体的なマニュアルなどを指します。System)と呼びます。セキュリティポリシに従い、PDCAサイクルを回しながら継続的に改善しておく必要があります。くろんぴーでぃーしーえー?キューせや、セキュリティ分野以外でも頻出やからしっかりと押さえて置こうPLAN・・・この段階では目標や計画の設定を立てます。DO・・・導入や運用を行い実際に結果を測定します。CHECK・・・得られた結果から見直しを行います。ACT・・・CHECKで見直した改善策を施策したり、問題がないなら維持できる取り組みを行います。リスクマネジメント情報セキュリティに関するリスクはいたるところに点在しています。情報の漏洩、改ざん、不正利用らは全てリスクであり、企業に被害が発生するすべての可能性を指しています。余談やけど、前までは良くないことが起こる可能性=リスクやったけど、最近では良いことが起こる可能性もリスクとして考えることもあるでリスクマネジメントには以下のステップを踏む必要があります。リスク特定まず最初に、どのようなリスクが点在しているのかを全て列挙します。思いつく限りをあげる必要があるので該当者達によるブレーンストーミング等で意見を出し合うことが大切です。次に、列挙したリスクを一つ一つ分析し重要さを判断していきます。具体的にはリスクが顕在化した場合の「被害の甚大さ」と「発生確率」を特定し数値化、それぞれ掛け合わせて判断していくことになります。分析されたリスクを所定のリスク基準と比較し、優先順位を決定します。上記の例であれば「被害の甚大さ」をx軸に、「発生確率」をy軸にプロットしていきます。これによって誰が見ても一目でどのリスクが重大かが分かるようになります。発生したリスクに関しては対応していく必要がありますが、具体的な方法には以下の4つがあります。損失が大きく、発生率が高いリスクに関してはリスク自体が発生しないようにする必要があります。該当するリスクを廃棄したり業務を停止する必要があります。損失が大きく、発生率が低いリスクに対してはリスクを他者に肩代わりさせることで対応します。具体的には保険をかけたり、リスク業務をメインで行っている業者にアウトソーシングするなどが挙げられます。損失額が小さく、発生率が高いリスクに関してはリスクによる損失を許容できる範囲まで軽減させることで対応します。損失額が小さく、発生確率が低いリスクに関しては対策をせずそのまま放置する方が費用を抑えられることもあります。Team)・・・シーサートとも呼ばれ、コンピュータセキュリティインシデントに関する報告を受取り調査し、対応する組織の総称です。Notes)・・・日本国内で用いられているソフトウェア等の脆弱性関連情報とその対策を資料化してまとめているポータルサイトになります。気になる方は一度覗いてみて下さい。Notesアクセス権・・・ユーザ毎に与えられた権限で、ネットワークやファイルにアクセス可能となります。実際に例題を解いて問題に慣れていきましょう。問1組織の活動に関する記述a~dのうち,ISMSの特徴として,適切なものだけを全て挙げたものはどれか。(H.27/春)a.一過性の活動でなく改善と活動を継続する。b.現場が主導するボトムアップ活動である。c.導入及び活動は経営層を頂点とした組織的な取組みである。d.目標と期限を定めて活動し,目標達成によって終了する。c,d回答する問2リスクアセスメントを三つのプロセスに分けるとすると,リスクの特定,リスクの評価ともう一つはどれか。Notes)で,"JVN#12345678′′などの形式の識別子を付けて管理している情報はどれか。回答する解説(クリックで展開)問1正解:イISMSは組織内におけるセキュリティ管理の仕組みでした。一過性の活動でなく改善と活動を継続する。→PDCAサイクルを回して継続的に改善を図っていく必要があります。現場が主導するボトムアップ活動である。→ISMSは企業のトップが策定し、その基本方針に基づいて具体的な実施手順や運用規則が策定されていくトップダウンの活動になります。導入及び活動は経営層を頂点とした組織的な取組みである。→bでも述べた通り、経営層からのトップダウン形式での取り組みになります。目標と期限を定めて活動し,目標達成によって終了する。→aでも述べた通り、継続的な改善が必須で、目標を達成した場合次の目標を制定します。これらを加味するとa,cが正しく、イが正解となります。問2正解:エリスクアセスメントは[リスク特定]→[リスク分析]→[リスク評価]になり、[リスク対応]は含まれません。→リスク対応のプロセスの一つです。→リスク対応のプロセスの一つです。→リスク対応のプロセスの一つです。