期待が高まる「情報セキュリティ監査制度」：情報セキュリティマネジメントシステム基礎講座（7）

　「第6回 情報セキュリティ監査の重要性」では、情報セキュリティマネジメントの視点から、ISMS認証基準Ver2.0（案）やBS7799-2：2002で要求されている「情報セキュリティ監査」の重要性について紹介し、さらに、内部監査やマネジメントレビューといったプロセスにおけるポイントについて述べた。そこで、今回は、「情報セキュリティ監査制度」について紹介する。

情報セキュリティ監査制度の概要

　情報セキュリティ監査を実施する際、組織内で監査員（内部監査員）を養成することは、技術面や情報セキュリティに関する知識の吸収が困難なため容易ではないことに前回触れた。

　セキュリティ監査項目を立案し、行ったセキュリティ対策の正当性や有効性を客観的に評価し、セキュリティ上の不適合があれば、その個所に対して是正処置を計画していくことは容易なタスクではないからだ。

　このような理由から、独立したかつセキュリティ分野に専門的知識を有する専門家が、客観的に組織のISMSの取り組みを評価するニーズが高まってきている。このニーズにこたえるべく、平成15年4月に情報セキュリティ監査制度を経済産業省が告示した。今回は、この制度の概要について説明する。

　経済産業省が公表した「情報セキュリティ監査研究会報告書」では、情報セキュリティ監査を

　「情報セキュリティに係わるリスクのマネジメントが効果的に実施されるように、リスクアセスメントに基づく適切なコントロールの整備、運用状況を、情報セキュリティ監査人（情報セキュリティ監査を行う主体）が独立かつ専門的な立場から、国際的にも整合性の取れた基準に従って検証または評価し、もって保証を与えあるいは助言を行う活動」

と定義し、その目的を「情報技術」（IT）に関連するいわゆる情報システムのセキュリティだけではなく、より広く情報資産」（information assets）全体のセキュリティを確保することとしている。

　また、「情報セキュリティ監査」を実施する際に準拠する基準（2つの基準、3つのガイドライン、2つのモデル）を大きく以下の3階層の構成に分けられるとし、発表した。

「基準の区分」

　この表からも分かるように、本制度は、「情報セキュリティ管理基準」と「情報セキュリティ監査基準」の2つの基準を合わせていることが特徴であり、これらの概要は以下のとおりである。

　これらの基準やガイドについては、後に解説する。

だれにどんなメリットを与えるだろうか？

　 さて、この制度は、だれにどんなメリットを与えるか考えてみる。

　本連載で数回にわたって説明したように、情報セキュリティに対しては組織的な取り組みが必要であり、日々目まぐるしく変わる脅威に対しては、“リスクアセスメント”を実施し、適切な管理策を選択する“リスクマネジメント”が必須である。

　情報セキュリティ監査制度では、情報システムにかかわる設備などの強度だけでなく、該当する組織においての情報資産に対するリスクマネジメントが効果的に実施されているかを判断できるという点で、当該組織体からの期待も高まっている。これは、当該組織体において、情報産業に対するリスクアセスメントが実際に行われているかどうかを判断し、さらにそのリスクアセスメントの内容が適切なものであるかを判断するため、監査主体が当該組織体に対するリスクアセスメントを実施し、監査を行うことが要望されていることを意味する。

期待されるユーザー側の効果

　さて、当該組織体が期待している効果としては、次の3点が考えられる。これらは、本制度の定義にもあるように、情報セキュリティにかかわるリスクのマネジメントが効果的に行われているかをセキュリティ分野に専門的知識を有する専門家が検証または評価することからくる期待である。

• 自らでは気付きにくい情報セキュリティの欠陥の指摘を受けることが可能

• 自らでは構築が難しい情報セキュリティマネジメントの確立が可能

図1 情報セキュリティ監査の実施により、情報セキュリティ対策のレベルが向上する（経済産業省 2003年3月26日 情報セキュリティ監査研究会報告書より抜粋）

• 第三者（取引の相手方や国民など）からの信頼の獲得

だれに有効か！

　上記のメリットは、民間市場においては大企業から中小企業まで、また政府関係市場においては、中央省庁から都道府県、市町村までであり、幅広く考えられる。

ISMS適合性評価制度とどんな関係にあるのだろうか？

　次に、情報セキュリティ監査はISMS適合性評価制度とどんな関係にあるのだろうか？ ISMSの認証基準においては、組織に対して、図2のような情報セキュリティに関するマネジメントシステムの構築を要求している。

図2 ISMSのプロセスモデル

　図1に示したとおり、情報セキュリティ監査制度は、情報セキュリティ監査を実施することによって、組織の情報セキュリティ対策のレベルが向上し、結果的にISMS認証取得レベルにまで到達するような仕組みとなっている。

　本制度は、情報セキュリティ管理基準の項目の一部のみの監査を受けることも可能である。例えば、技術的な部分について、客観的に評価をしてもらいたいと思えば、「アクセス制御」の部分についてのみ、重点的に監査を受けることも可能である。またこれらの積み重ねでISMS準拠性監査を行い、ある段階でISMS認証を取得するといったことも考えられる。

　従って、情報セキュリティ監査の普及は、ISMS認証取得組織体のすそ野を広げ、結果として認証取得組織体も増加していく相乗効果を生むものと期待される。

情報セキュリティ管理基準とは

　冒頭で本制度は、2つの基準で構成されていると述べた。ここでは、そのうちの情報セキュリティ管理基準について説明する。情報セキュリティ管理基準は、以下の特徴を有す基準である。

　また、国際的な整合を図ることが望ましいことから、JIS X 5080：2002（情報技術−情報セキュリティマネジメントの実践のための規範）を基に策定された。加えて、ISMS適合性評価制度の認証基準も、JIS X 5080：2002を参照して策定されていることから、情報セキュリティ監査とISMS適合性評価制度の判断の尺度は、整合が図られることとなる。

情報セキュリティ管理基準の読み方

　この管理基準は、以下のような体系になっている。

　上記の体系は、JIS X 5080：2002を参照するだけでは、

• 管理策（コントロール）が複数化している
• 管理策（コントロール）のあいまい度が高い

などの場合があり、監査に利用しにくいための配慮からである。

　すなわち上記の例（表1）のように、情報セキュリティ管理基準は、JIS X5080：2002を利用しやすいように細分化したものにすぎない。

　従って、この情報セキュリティ管理基準は、すべてのケースにおいて網羅的に利用するものではなく、あくまでも個別組織体の管理基準（監査項目）を策定するに当たっての参照元であるにすぎない。組織に合った管理基準（監査項目）を策定する必要があり、策定のためのガイドが、「個別管理基準（監査項目）策定ガイドライン」である。

個別管理基準（監査項目）策定ガイドライン

　このガイドラインは、情報セキュリティ管理基準に従って、組織体ごとに具体的な管理基準（以下、「個別管理基準」）を策定する際の手順について示したものである。情報セキュリティ管理基準を各組織体の実情に見合ったものとする際のガイドラインであるから、情報セキュリティ監査において監査人が監査項目（「監査要点」ともいう）を選択する際のガイドラインとしても有用なものである。

個別管理基準（監査項目）策定の流れ

　個別管理基準の策定に当たっては、

　 といったステップを踏むことを推奨している。この際、上記1から7の手順は、組織体の情報資産の洗い出しとリスクアセスメントに基づいて行わなければならない。

1.情報セキュリティ管理基準の参照・項目の抽出

2.当該組織体に必要と思われる項目の追加

3.組織内規定との整合を図る

4.関連法令の参照

5.ほかの規定の参照

6.必須項目と推奨項目の選別

7.技術的検証項目の策定

　このようなステップを踏んで、電子政府における一般的な庁内ネットワークシステムを想定して、策定されたものが、「電子政府情報セキュリティ管理基準モデル（庁内ネットワークシステム）」である。

電子政府情報セキュリティ管理基準モデル

　この電子政府情報セキュリティ管理基準モデル（庁内ネットワークシステム）は、情報セキュリティ管理基準を基礎として、電子政府用の主体別・業種別管理基準として利用可能なモデルを提示することを目的としている。

　上記の例（表2）は、電子政府情報セキュリティ管理基準モデル（庁内ネットワークシステム）を想定して策定されたものだが、組織において、リスクアセスメントを基に、各組織がこのような監査項目を策定し、自分の組織に合った内容で監査していく必要がある。

　政府では、各業界別にこのような業種別管理基準が策定されることを期待している。これには、業界内でアライアンスなどを設置し、管理基準を検討する仕組みが不可欠になるであろう。

　次回は、情報セキュリティ監査基準について、説明する。