第4回 どうすれば、管理していることになるのだろうか？

松下　勉
ビューローベリタスジャパン株式会社
システム認証事業本部　製品開発部
ITプロダクトマネジャー
CISA（公認情報システム監査人）
2008/4/11

---

4．ログファイルの容量および保管方法の決定

　ログの取得において、ログファイルの容量、バックアップなどの保管方法を決定します。例えば、上記2.および3.にて決定したログのユーティリティ（またはアプリケーション）と管理項目を、モデルケースとして何台かのサーバに設定しログを取得します。これにより、1日、1週間、1カ月など、営業時間を通じて、どの程度のログが容量として取得されるかを確認します。これにより、ディスクの容量を考慮して、バックアップするか、ログサーバで集中的にログを取得するかを決めていきます。

　また、ログファイル自体が改ざんされないように、アクセス制御やバックアップなどの保管が必要です。

5．ログの運用方法の決定

　これらのログを管理する面において、運用するに当たり、どのような手順で実施していくかを決めます。例えば、ログの設定により、アラートをシステム管理者や該当する担当者、ならびに専用コンソール端末に届くようにし、その内容から対処していくなどを決めます。また、管理体制、役割および責任、ログのバックアップ、ログの定期的な解析、ログの設定情報の定期的見直し、解析結果から情報セキュリティインシデント手順に移行すること、なども決めていきます。

6．確定した事項による運用

　確定した内容を、実際に運用していきます。 これにより、すでに決定されたログ管理の手順に、日々、不備がないか確認していきます。

　ここで、報告および改善へのフィードバックに必要な情報をログとして取得していきます。このログの取得により、アラートが上がり、その対応として、システム障害への対応や、情報セキュリティインシデントへの対応を実施することとなります。

7．報告および確認

　グループミーティングや情報システム委員会などで、定期的に当該組織で取られた管理策の実施状況を報告します。これらにおいて、ログの定期的な解析の結果や、運用状況を報告します。例えば、予想以上にログの容量が増えることから、管理項目の見直しや、ストレージの追加購入などを提案していきます。また、客観的視点から管理策の実施状況を確認するうえで、内部監査、外部監査などにより、自身では気付かなかった点をあぶり出していきます。例えば、パッチ適用がされていない、不必要なサービスがサーバ上で停止されていないなどが見つかるかもしれません。

8．報告内容への対処

　7.にて、自ら、または第三者からあぶり出された改善提案および是正要求に対して、確実に実施していきます。これにより、より「狙いどおり」の結果が期待できます。また、ここでも処置を実施しただけではなく、その処置が、問題点への対処として本当に有効なものだったかどうかも、期間を設けてモニタリングしながら確認していきます。

　実施だけはなく、PDCAを回し状況を把握することが重要

　いかかでしょうか。皆さまは、「普段実施している内容でできているよね」と思ったのではないでしょうか。上記1.から8.は、実はマネジメントシステムを運用するうえで必須のPDCAのサイクルの流れで記載しています。

　規格要求事項にて新たに追加されている「管理策又は管理策一式の有効性の測定」については、上記内容を例に取ると、以下の観点で測定することも1つの考え方となります。

（1）	リスク受容レベルまで下がったか（または、引き続きリスク受容レベルに収まっているか）
（2）	適用した管理策は、誤りがなく実施できているか（管理上の成熟度）
（3）	内部監査、外部監査の結果
（4）	情報セキュリティインシデントの発生件数
		管理策を実施していても、インシデントが発生するということは、改善の余地があるという判断のもと、測定する
（5）	情報セキュリティインシデント（または情報セキュリティ事象）への対応
		ただし、検知状況や、速やかに処置に結びつく仕組みも評価するため、マイナス評価だけではない
		主に、付属書A.13の、「情報セキュリティインシデントの管理」の評価となる。ただし、関連する管理策として、インシデント対応のために発見に寄与した「A.10　監視」や、復旧へ寄与した「A.10.5　バックアップ」などが機能していたことは、次に示すとおり、管理策が、検知、および復旧の側面が機能したかどうかを測定する
（6）	管理策を実施するための目的（管理目的、または組織独自の管理目的）を達成できているか
		つまり、「狙いどおり」の結果が出ているか（管理策にかかわる、抑止・予防・検知・復旧の側面が、機能しているか）
（7）	日々の改善した結果が、適切に機能したか
（8）	改善提案が、これまでの管理策を以前より良いものとしたか（レベルの成熟度）

表1　管理策または管理策一式の有効性の測定項目の例

　このように、管理策についても、PDCAの視点で実施することにより、ただ単に実施したということに収まらず、日々の運用によって実施状況を把握することで、適切に改善に結びつけることができるのです。

3/3

Index
どうすれば、管理していることになるのだろうか？
	Page1 管理せよ！ 管理せよ！ 管理せよ！ 必要なのはその「管理」と「実施内容の確認」
	Page2 その管理策、「実施した価値」測ってますか？ 狙いどおりの効果を得るために
	Page3 実施だけはなく、PDCAを回し状況を把握することが重要

Profile

松下　勉（まつした　つとむ） ビューローベリタスジャパン株式会社 システム認証事業本部　製品開発部 ITプロダクトマネジャー CISA（公認情報システム監査人） これまで、ネットワークインフラ構築・サーバ構築などのネットワークエンジニア、ネットワークセキュリティ診断・情報セキュリティ監査・情報セキュリティポリシー策定・ISMS認証支援・プライバシーマーク認証支援などの情報セキュリティコンサルタントを経て、第三者認証機関の審査員となる。 現在、ITに関連した国際規格のプロダクトマネジャーを兼任。

ISMSで考える運用管理のヒント 連載インデックス

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）