情報セキュリティ管理と基本対策

イントロ

リスクと対策の対応を中心にする

情報セキュリティ管理では、リスクを見つけ、評価し、技術的・人的・物理的な対策を組み合わせ、継続的に改善する。セキュリティは技術だけでなく、組織のルール、リスク評価、教育、対策の組合せで管理されるからです。

定義

教科書では: 情報セキュリティ管理では、リスクを見つけ、評価し、技術的・人的・物理的な対策を組み合わせ、継続的に改善する。
言いかえると: 情報セキュリティ管理では、リスクを見つけ、評価し、技術的・人的・物理的な対策を組み合わせ、継続的に改善する。ここでは情報セキュリティ管理、ISMS、リスクアセスメント、リスク対応、マルウェア対策、ログ管理、教育を扱います。ISMS認証取得、詳細なセキュリティ運用、インシデント対応手順、監査実務までは追わず、ISMSとリスクアセスメントを分けます。

比較

見る点	押さえる内容	注意する混同
目的	ISMSの目的と役割を見る	用語名だけで選ばない
判断軸	対策は1つで完了ではなく、技術・人・場所・運用を組み合わせる	ウイルス対策ソフトを入れれば情報セキュリティ管理は十分だと思う
範囲	情報セキュリティ管理、ISMS、リスクアセスメント、リスク対応	ISMS認証取得、詳細なセキュリティ運用、インシデント対応手順

見る点目的

見る点判断軸

見る点範囲

情報セキュリティ管理と基本対策は、似た用語を丸暗記するより、目的・対象・判断軸を分けると理解しやすくなります。

要点

対策は1つで完了ではなく、技術・人・場所・運用を組み合わせる。ISMSが何を助ける言葉かを、身近な業務場面に結び付けて読みます。

手順

例

場面: 顧客情報を扱う部門で、アクセス制御、教育、入退室管理、ログ確認を組み合わせる例
順に考えると: この場面では、まずISMSが何を助けるかを確認します。次にリスクアセスメントとの違いを見て、対策は1つで完了ではなく、技術・人・場所・運用を組み合わせる。ISMS認証取得、詳細なセキュリティ運用、インシデント対応手順、監査実務までは追わず、役割を一文で説明できれば十分です。
ここが結論: ISMSとリスクアセスメントを分けると、対策は1つで完了ではなく、技術・人・場所・運用を組み合わせる。

注意

確認

Q1

情報セキュリティ管理と基本対策で最も大切な見方はどれですか。

まとめ