情報セキュリティ管理

情報セキュリティ管理( ISM ) は、組織が脅威や脆弱性から資産の機密性、可用性、整合性を適切に保護するために実装する必要がある制御を定義および管理します。ISMの中核には情報リスク管理が含まれます。これは、組織が資産の管理と保護で対処しなければならないリスクの評価、およびすべての適切な利害関係者へのリスクの伝達を含むプロセスです。^{[1]これには、資産の}機密性、整合性、可用性、および交換の価値の評価を含む、適切な資産識別および評価手順が必要です。 ^{[2]情報セキュリティ管理の一環として、組織は}情報セキュリティに関する ISO/IEC 27001、ISO/IEC 27002、および ISO/IEC 27035 規格に記載されている情報セキュリティ管理システムおよびその他のベストプラクティスを実装できます。^[3]^[4]

リスク管理と軽減

情報セキュリティの管理とは、本質的には、資産に対するさまざまな脅威と脆弱性を管理および軽減すると同時に、潜在的な脅威と脆弱性が実際に発生する可能性を測定することで、それらに費やされる管理労力のバランスを取ることを意味します。^[1]^[5]^{[6]たとえば、}サーバールームに隕石が衝突することは確かに脅威ですが、情報セキュリティ担当者はそのような脅威に備えるためにほとんど努力をしない可能性があります。世界的な種子銀行が存在するからといって、人々が世界の終わりに備え始める必要がないのと同じです。^[7]

適切な資産の特定と評価が行われた後、^[2]それらの資産に対するリスク管理とリスクの軽減には、以下の問題の分析が含まれます。^[5]^[6]^[8]

脅威: 情報資産の意図的または偶発的な損失、損傷、または誤用を引き起こす可能性のある望ましくないイベント
脆弱性: 情報資産と関連する制御が、1 つ以上の脅威によって悪用される可能性がどの程度あるか
影響と可能性: 脅威と脆弱性による情報資産への潜在的な損害の規模と、それらが資産にもたらすリスクの深刻さ。費用便益分析は、影響評価の一部である場合もあれば、影響評価とは別に行われる場合もあります。
緩和策: 潜在的な脅威と脆弱性の影響と可能性を最小限に抑えるための提案された方法

脅威や脆弱性が特定され、情報資産に十分な影響/可能性を持つと評価されたら、緩和計画を策定できます。緩和方法の選択は、脅威や脆弱性が 7 つの情報技術 (IT) ドメインのどれに存在するかによって大きく異なります。セキュリティポリシーに対するユーザーの無関心 (ユーザードメイン) の脅威には、ネットワークの不正な調査やスキャン(LAN から WAN へのドメイン) の脅威を制限するために使用される緩和計画とはまったく異なる緩和計画が必要になります。^[8]

情報セキュリティ管理システム

情報セキュリティ管理システム (ISMS) は、組織の情報セキュリティの全体的な保証を向上させるために、ポリシー、手順、目標の作成、実装、伝達、評価を確実に行えるように、組織の相互に関連/相互作用するすべての情報セキュリティ要素をまとめたものです。このシステムは、通常、組織のニーズ、目標、セキュリティ要件、規模、プロセスによって左右されます。^[9] ISMS には、リスク管理と軽減戦略が含まれており、それらに役立ちます。さらに、組織が ISMS を採用することは、情報セキュリティリスクを体系的に特定、評価、管理し、「情報の機密性、完全性、可用性の要件にうまく対処できる」ことを意味します。^[10]ただし、ISMS の開発、実装、実践に関連する人的要因 (ユーザードメイン^[8] ) も、ISMS の最終的な成功を確実にするために考慮する必要があります。^[11]

実施と教育戦略の構成要素

効果的な情報セキュリティ管理（リスク管理と軽減を含む）を実施するには、以下の点に留意した管理戦略が必要である。^[12]

上級管理職は、情報セキュリティの取り組みを強力にサポートし、情報セキュリティ担当者に「完全に機能し効果的な教育プログラムを実施するために必要なリソースを取得する」機会、さらには情報セキュリティ管理システムを提供する機会を与える必要があります。
組織の情報セキュリティ計画によってすべての従業員が確実にプラスの影響を受けるようにするには、情報セキュリティ戦略とトレーニングを部門戦略に統合し、部門戦略を通じて伝達する必要があります。
プライバシートレーニングと意識向上のための「リスク評価」は、組織がセキュリティに対する利害関係者の知識と姿勢の重大なギャップを特定するのに役立ちます。
「トレーニングおよび意識向上プログラムの全体的な有効性を測定する」ための適切な評価方法により、ポリシー、手順、およびトレーニング資料が適切な状態に保たれます。
適切に開発、実装、伝達、および施行されたポリシーと手順は、「リスクを軽減し、リスクの削減だけでなく、適用される法律、規制、標準、およびポリシーへの継続的な準拠も保証します。」
情報セキュリティ管理のあらゆる側面におけるマイルストーンとタイムラインは、将来の成功を保証するのに役立ちます。

標準的な規制、IT、プライバシー、セキュリティの問題に割り当てられた資金に加えて、上記のすべてに対して十分な予算を考慮しなければ、情報セキュリティ管理計画/システムは完全に成功することはできません。

参照

参考文献

^ ab Campbell, T. (2016). 「第 1 章: 職業の進化」。実践的な情報セキュリティ管理: 計画と実装の完全ガイド。APress。pp. 1–14。ISBN 9781484216859。
^ ab Tipton, HF; Krause, M. (2003).情報セキュリティ管理ハンドブック(第 5 版). CRC Press. pp. 810–11. ISBN 9780203325438。
^ ab Humphreys, E. (2016). 「第2章: ISO/IEC 27001 ISMSファミリー」。ISO/IEC 27001:2013 ISMS規格の実装。 Artech House。 pp. 11–26。ISBN 9781608079315。
^ abc Campbell, T. (2016). 「第 6 章: 標準、フレームワーク、ガイドライン、および法律」。実践的な情報セキュリティ管理: 計画と実装の完全ガイド。APress。pp. 71–94。ISBN 9781484216859。
^ ab Watts, S. (2017 年 6 月 21 日)。「IT セキュリティの脆弱性と脅威とリスク: 違いは何か?」BMC ブログ。BMC Software, Inc. 2018 年6 月 16 日閲覧。
^ ab Campbell, T. (2016). 「第 4 章: 組織のセキュリティ」。実践的な情報セキュリティ管理: 計画と実装の完全ガイド。APress。pp. 43–61。ISBN 9781484216859。
^ Lundgren, Björn; Möller, Niklas (2019). 「情報セキュリティの定義」.科学と工学倫理. 25 (2): 419–441. doi :10.1007/s11948-017-9992-1. ISSN 1353-3452. PMC 6450831. PMID 29143269 .
^ abc Kim, D.; Solomon, MG (2016). 「第 1 章: 情報システムセキュリティ」。情報システムセキュリティの基礎。Jones & Bartlett Learning。pp. 2–46。ISBN 9781284128239。
^ Terroza, AKS (2015年5月12日). 「情報セキュリティ管理システム（ISMS）の概要」（PDF）。内部監査人協会。2016年8月7日時点のオリジナル（PDF）からアーカイブ。 2018年6月16日閲覧。
^ 「必要性：ISMSの必要性」。脅威とリスク管理。欧州連合ネットワーク情報セキュリティ機関。 2018年6月16日閲覧。
^ Alavi, R.; Islam, S.; Mouratidis, H. (2014). 「組織における情報セキュリティ管理システム (ISMS) の人的要因を分析するための概念フレームワーク」。情報セキュリティ、プライバシー、信頼の人間的側面。コンピュータサイエンスの講義ノート。第 8533 巻。pp. 297–305。doi : 10.1007 / 978-3-319-07620-1_26。ISBN 978-3-319-07619-5。 {{cite book}}:|journal=無視されました (ヘルプ)
^ Tipton, HF; Krause, M. (2010). 情報セキュリティ管理ハンドブック。第 3 巻 (第 6 版)。CRC プレス。pp. 100–02。ISBN 9781420090956。
^ ab Kim, D.; Solomon, MG (2016). 情報システムセキュリティの基礎。Jones & Bartlett Learning。p. 225。ISBN 9781284128239。
^ Leal, R. (2016 年 3 月 7 日)。「ISO 27001 と ITIL: 類似点と相違点」。ISO 27001 および ISO 22301 ブログ。Advisera Expert Solutions Ltd。2018年6 月 16 日閲覧。
^ White, SK (2017 年 12 月 22 日)。「COBIT とは? 整合とガバナンスのためのフレームワーク」。CIO。IDG Communications , Inc. 2018 年6 月 16 日閲覧。
^ 「オープン情報セキュリティ管理成熟度モデル（O-ISM3）、バージョン2.0」。The Open Group。2017年9月21日。 2018年6月16日閲覧。

外部リンク

ISACA
オープングループ

[CampbellPractical16-1-1] Campbell, T. (2016). 「第 1 章: 職業の進化」。実践的な情報セキュリティ管理: 計画と実装の完全ガイド。APress。pp. 1–14。ISBN 9781484216859。

[TiptonInfo03-2] Tipton, HF; Krause, M. (2003).情報セキュリティ管理ハンドブック(第 5 版). CRC Press. pp. 810–11. ISBN 9780203325438。

[HumphreysImplement16-3] Humphreys, E. (2016). 「第2章: ISO/IEC 27001 ISMSファミリー」。ISO/IEC 27001:2013 ISMS規格の実装。 Artech House。 pp. 11–26。ISBN 9781608079315。

[CampbellPractical16-6-4] Campbell, T. (2016). 「第 6 章: 標準、フレームワーク、ガイドライン、および法律」。実践的な情報セキュリティ管理: 計画と実装の完全ガイド。APress。pp. 71–94。ISBN 9781484216859。

[WattsITSec17-5] Watts, S. (2017 年 6 月 21 日)。「IT セキュリティの脆弱性と脅威とリスク: 違いは何か?」BMC ブログ。BMC Software, Inc. 2018 年6 月 16 日閲覧。

[CampbellPractical16-4-6] Campbell, T. (2016). 「第 4 章: 組織のセキュリティ」。実践的な情報セキュリティ管理: 計画と実装の完全ガイド。APress。pp. 43–61。ISBN 9781484216859。

[7] Lundgren, Björn; Möller, Niklas (2019). 「情報セキュリティの定義」.科学と工学倫理. 25 (2): 419–441. doi :10.1007/s11948-017-9992-1. ISSN 1353-3452. PMC 6450831. PMID 29143269 .

[KimFundament16-8] Kim, D.; Solomon, MG (2016). 「第 1 章: 情報システムセキュリティ」。情報システムセキュリティの基礎。Jones & Bartlett Learning。pp. 2–46。ISBN 9781284128239。

[TerrozaInfo15-9] Terroza, AKS (2015年5月12日). 「情報セキュリティ管理システム（ISMS）の概要」（PDF）。内部監査人協会。2016年8月7日時点のオリジナル（PDF）からアーカイブ。 2018年6月16日閲覧。

[ENISANeed-10] 「必要性：ISMSの必要性」。脅威とリスク管理。欧州連合ネットワーク情報セキュリティ機関。 2018年6月16日閲覧。

[AlaviAConcept14-11] Alavi, R.; Islam, S.; Mouratidis, H. (2014). 「組織における情報セキュリティ管理システム (ISMS) の人的要因を分析するための概念フレームワーク」。情報セキュリティ、プライバシー、信頼の人間的側面。コンピュータサイエンスの講義ノート。第 8533 巻。pp. 297–305。doi : 10.1007 / 978-3-319-07620-1_26。ISBN 978-3-319-07619-5。 {{cite book}}:|journal=無視されました (ヘルプ)

[TiptonInfo10-12] Tipton, HF; Krause, M. (2010). 情報セキュリティ管理ハンドブック。第 3 巻 (第 6 版)。CRC プレス。pp. 100–02。ISBN 9781420090956。

[KimFundament16-225-13] Kim, D.; Solomon, MG (2016). 情報システムセキュリティの基礎。Jones & Bartlett Learning。p. 225。ISBN 9781284128239。

[LealISO16-14] Leal, R. (2016 年 3 月 7 日)。「ISO 27001 と ITIL: 類似点と相違点」。ISO 27001 および ISO 22301 ブログ。Advisera Expert Solutions Ltd。2018年6 月 16 日閲覧。

[WhiteWhat17-15] White, SK (2017 年 12 月 22 日)。「COBIT とは? 整合とガバナンスのためのフレームワーク」。CIO。IDG Communications , Inc. 2018 年6 月 16 日閲覧。

[OGISM3-16] 「オープン情報セキュリティ管理成熟度モデル（O-ISM3）、バージョン2.0」。The Open Group。2017年9月21日。 2018年6月16日閲覧。