情報セキュリティマネジメント（ISMS）

ISMSは、情報セキュリティを一度きりの対策ではなく、組織として継続的に管理する仕組みです。守る対象となる情報資産を明確にし、脅威、脆弱性、影響を踏まえてリスクを評価し、必要な管理策を選択します。情報セキュリティの基本特性は、権限のない者に見せない機密性、改ざんや誤りを防ぐ完全性、必要なときに利用できる可用性です。

リスク対応には、リスクの低減、回避、移転、受容があります。すべてのリスクをゼロにするのではなく、事業上の重要性や費用対効果を踏まえて許容水準を決めます。管理策には、アクセス制御、暗号化、バックアップ、ログ監視、委託先管理、教育訓練、インシデント対応手順など、技術的・物理的・人的・組織的な対策が含まれます。

試験では、ISMSを個別のセキュリティ製品導入と混同しないことが重要です。方針を定め、計画し、実施し、点検し、改善するPDCAサイクルで運用します。経営層の関与、責任の明確化、文書化、内部監査、継続的改善が問われやすい論点です。個人任せの注意喚起だけでなく、組織のルールと運用状況を結び付けて理解します。

• ISMSは情報セキュリティを組織的かつ継続的に管理するための仕組みです。
• 情報セキュリティの基本特性は機密性、完全性、可用性です。
• リスクアセスメントでは情報資産、脅威、脆弱性、影響を踏まえて評価します。
• リスク対応には低減、回避、移転、受容があります。
• ISMSではPDCAサイクルにより管理策の有効性を点検し改善します。

ISMSの説明として最も適切なものはどれか。

• ア. 情報セキュリティを組織的に管理し、継続的に改善する仕組みである。
• イ. ウイルス対策ソフトを導入すれば、規程や教育なしに完了する活動である。
• ウ. すべてのリスクを例外なくゼロにすることだけを目的とする。
• エ. 可用性は情報を権限のない者に見せない性質を指す。