情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）
この領域で問われること
情報セキュリティマネジメントは、方針・諸規程の策定からリスクアセスメント、リスク対応までを一つの循環として捉える領域である。JIS Q 27001のISMS要求事項とJIS Q 27005のリスクマネジメント指針が基礎になり、用語の定義と手順の順序を正確に理解しているかが問われる。
規程体系
- 情報セキュリティ方針は経営者が承認し、組織の目的と整合させる。方針の下に管理規程、手順書、記録という階層を置き、下位文書が方針と矛盾しないよう整合を保つ。
- 規程には適用範囲、責任者、例外の承認手続、見直しの周期を定める。例外を現場の判断で常態化させない仕組みが重要である。
- 教育・訓練と運用状況の監視を組み合わせ、規程が形骸化しないようにする。
リスクアセスメントとリスク対応
- 情報資産を洗い出し、資産価値、脅威、脆弱性、影響を整理してリスクを特定・分析・評価する。評価基準（受容基準）は事前に方針で定める。
- リスク対応は回避、低減、移転、受容の4類型である。低減後の残留リスクは経営者が受容判断を行う。
- 管理策はリスクアセスメントの結果から選ぶ。2022年改訂のJIS Q 27001では附属書Aが組織的・人的・物理的・技術的の4主題93管理策に再編された。
例題で確認
顧客情報を扱うWebシステムで、資産価値が高く、標的型攻撃の脅威があり、パッチ未適用の脆弱性が判明したとする。リスク値が受容基準を超えるため、WAF導入とパッチ管理の徹底で低減する。低減後も残る残留リスクは経営者が受容する。保険加入は移転、システム廃止は回避にあたる。どの対応を選んだかと理由を対応づけて説明できるようにする。
失点しやすい点
リスクアセスメントとリスク対応の順序を逆にしない。リスクの特定と評価を混同しない。すべてのリスクを低減する必要はなく、受容も正当な対応である。管理策をチェックリストから先に選ぶと説明問題で点を落とす。方針を現場が独断で改訂する記述も不適切である。