認証取得のためのISMSガイド：情報セキュリティマネジメントシステム基礎講座（2）（1/2 ページ）

　情報セキュリティマネジメントシステム（ISMS）が適切に構築されているか否かを評価する制度が制定されている。国内においては、「ISMS適合性評価制度」と「BS7799」の認証制度である。これらの紹介と認証を取得するために有用なガイドである「ISMSガイド」（ISMS適合性評価制度）と「PD3000シリーズ」（BS7799の認証制度）について紹介する。

ISMS構築は防衛目的だけではない

　「第1回 ISMSの基盤となるISO/IEC 17799とJIS X5080」では、「ISO/IEC 17799」や「JIS X5080」といったBS 7799をベースにしたISMSの概要を説明した。ISMS導入の目的は、情報セキュリティの向上を図ることはもちろん、継続的にセキュリティを改善、維持していくことを可能とする組織体制づくりやリスク管理に基づく運用面でのセキュリティ強化であり、ひいては、コーポレートガバナンス（企業統治）を確立することである。

　ISMSを構築することは、何も防衛目的だけではなく、情報の完全性や可用性の向上と維持という観点から信頼性やサービス品質の向上につながるという利点があり、企業戦略のうえで欠かせない重要なファクタである。このことを認識し、ビジネスのリスクを最小化し、そのリターンを最大限にしていく一連の統制がISMSなのである。

　企業や組織が構築したISMSを第三者によって偏見なく公平に審査される認証制度がある。認証取得自体、ISMSの構築・運用という過程の副産物であり、ゴールというわけではないが、認証を取得することは、企業（組織）内・外の両面から大きな効果が得られると考えられている。

なぜ、認証を取得するのか？

　具体的に期待される効果としては、

が考えられる。

　特に、認証取得から得られる信頼性をアピールすればパートナー企業や顧客に対して、商取引やサービス提供のうえで大きな効果があり、ほかの未取得の企業との差別化にもつながる。また、認証取得後も、その有効期限が切れるまでにサーベイランス審査（維持審査）が年に一度、定期的にあり、認証を維持するには、継続的に審査をクリアしなければならないことから、前述したISMSの継続的な取り組みの後押しにもなる。

BS7799の認証取得に向けて

　さて、国内においては、BS7799（Part2）の認証制度とISMS適合性評価制度がある。まず、BS7799（Part2）の認証制度について紹介する。

　BS7799の認証を取得するには、BS7799　Part2に記載されている仕様を満たさなければならない。BS7799は、2部構成で、Part1は前回紹介した「ISO/IEC 17799」のことである。Part2は、まだ国際標準化（ISO化）されていないが、ISMSの認証基準仕様について記載されている。

　国際標準化は今後の課題にせよ、すでに多くの国々の企業や組織が認証を取得している（図1）。

図1 BS7799の各国における取得状況

　BS7799 Part2：情報セキュリティ管理システム仕様（Part2:Specification for information security management systems ）の第3章において、ISMSの要求事項として、ISMSのフレームワーク（枠組み）に関する要求事項と、その実施に関する要求事項が記載されている。これらの要求事項を満足することが認証取得の必須条件となる。

　具体的には、企業または組織固有のISMSを確立し維持するための実施に関する要求事項には次の項目について文書化を行うことが定められている。

• 保護すべき情報資産
• リスクマネジメントに対する企業または組織の取り組み方法
• 管理目的および管理策の内容
• 保護すべき情報資産に要求される保証の度合い

　これらの事項を明文化することにより、企業または組織のISMSが効果的であり、セキュリティの状態が維持されることを証明することが可能になるわけである。

　また、「フレームワークの確立」に関するISMSの要求事項は、以下の6ステップで、

1. 情報セキュリティポリシーの策定
2. ISMSの適用範囲の決定
3. リスクアセスメント
4. リスクマネジメント
5. 管理目的・管理策の選択
6. 適用宣言書の作成

と定められている。フレームワークの確立に当たり、その手順の概要は図2のように示されている。

図2 BS7799 Part2マネジメントの枠組みの確立

　この中で、特に“5.管理目的・管理策の選択”で留意する点は、 ISMSを導入する企業が、BS7799 Part2に記載されている詳細管理策を安易に選択すればよいわけではないということである。もちろん、これら管理策は一般的に有効であると認められたものであり、規格化に関与した企業や組織、専門家による長年の知見による最適慣行であるといえる。しかし、規格には情報技術分野における目覚ましい技術、慣行の発展を考慮し、これらの管理策だけでなく、よりよい管理策を取り入れるべきだとしている。

　また、過剰な管理や人員、投資などのリソースの無駄を避けるためにも、どの管理策を選択するべきかは、要求されるセキュリティ要件やビジネス要件、上記3、4にあるリスクアセスメント、リスクマネジメントなどを通じて決定することが肝要であるとしている。換言すれば、認証取得審査の際は、ある情報資産に対して、どのようなリスクが想定され、それに対して適切な管理策が選択され、実装・運用されているかを客観的に審査されるのである。

　しかし、これらの詳細は、BS7799 Part2を参照しただけでは、認証のための要求事項や記載されている詳細管理策の行間から読み取ることは困難であり、すぐにはポイントがつかめないであろう。ポイントをつかむには、トレーニングを受講したり、専門家に相談することが望ましい（参照：セキュリティポリシーアライアンス）。また、ISMS導入のために

PD3000 シリーズというガイドブックシリーズも用意されている。これは、ISMSの導入を検討している企業ばかりでなく、審査員やコンサルタントの方にも有用なので紹介する。

BS7799認証に向けたガイドライン：PD 3000シリーズ

　BS7799ガイドラインおよびBS7799の付録であるPD3000シリーズというガイドは、以下の6ガイドから構成されており、BS7799をベースにセキュリティポリシーを策定する際やリスクアセスメントを行ううえで有用である。

　PD3000シリーズは、BSI-DISC委員会から発刊されている。DISCは、BSI（英国規格協会）内に設立された機関であり、さまざまな英国規格に関する出版物やガイドを提供しており、BS7799関連のガイドなどの発刊や開発にも携わる。本シリーズは、財団法人日本規格協会から対訳版が購入可能である。残念なことに分かりやすく翻訳されていないので、オリジナル（英語版）を読むことをお勧めする。

• PD3000：情報セキュリティ管理序文（Information Security Management：An Introduction）

• PD3001：BS7799認証の準備 （Preparing For BS7799 Certification）

• PD3002：BS7799リスクアセスメントおよびリスクマネジメントへのガイド （Guide to BS7799 Risk Assessment and Risk Management）

• PD3003：BS7799の監査の準備はできていますか？（Are you ready for a BS7799 Audit?）

図3 PD3003：質問事項に対する回答サンプル

• PD3004：BS7799監査へのガイド（Guide to BS7799 Auditing）

• PD3005：BS7799管理策選択のガイド （Guide on the selection of BS7799 controls）

図4 PD3005：管理目的および管理策の選択

図5 PD3005：管理目的および管理策の選択

　これらのPD3000シリーズのガイドに従い、ISMSを構築および運用していくわけだが、当初は専門家やコンサルタントの協力を得た方が無難であろう。実際、認証を取得した企業の多くは、専門家がISMSの構築を支援しているようだ。

　わが国におけるISMSの認証制度は、BS7799認証制度のほかにISMS適合性評価制度がある。次に、この制度について説明していく。