情報セキュリティ基準

情報セキュリティ標準（サイバーセキュリティ標準とも呼ばれる^[1]）は、一般に公開されている資料に概説されている、ユーザーまたは組織のサイバー環境を保護するための技術です。^[2]この環境には、ユーザー自身、ネットワーク、デバイス、すべてのソフトウェア、プロセス、保存中または転送中の情報、アプリケーション、サービス、およびネットワークに直接的または間接的に接続されるシステムが含まれます。

主な目的は、サイバー攻撃の防止や緩和を含むリスクの軽減です。公開されている資料には、ツール、ポリシー、セキュリティの概念、セキュリティ保護手段、ガイドライン、リスク管理のアプローチ、アクション、トレーニング、ベストプラクティス、保証、テクノロジーが含まれます。

サイバーセキュリティの標準は、ユーザーとプロバイダーが国内外の多くのフォーラムで協力し、必要な機能、ポリシー、実践を実施してきたため、数十年にわたって存在してきました。これらは通常、1990年代のスタンフォード情報セキュリティとポリシーの研究コンソーシアムでの作業から生まれました。^[3]

2016年に実施された米国のセキュリティフレームワーク採用調査によると、調査対象組織の70%が、情報技術（IT）コンピュータセキュリティの最も人気のあるベストプラクティスとしてNISTサイバーセキュリティフレームワークを使用しているが、かなりの投資が必要であると指摘する組織が多い。 ^[4]ダークウェブでの国際犯罪活動に対抗するために法執行機関が行う国境を越えたサイバー流出作戦は、複雑な管轄権の問題を引き起こし、ある程度は未解決のままである。^{[5] [6]}国境を越えたサイバー流出作戦を実施する国内法執行機関の取り組みと国際管轄権との間の緊張は、サイバーセキュリティの規範の改善を今後も提供し続ける可能性が高い。^{[5] [7]}

以下のサブセクションでは、サイバーセキュリティに関連する国際標準について詳しく説明します。

ISO/IEC 27001 は、拡大を続けるISO/IEC 27000 規格ファミリーの一部であり、情報セキュリティ管理システム(ISMS) 規格です。その最終改訂版は、2022 年 10 月に国際標準化機構(ISO) と国際電気標準会議(IEC) によって発行されました。正式名称は、ISO/IEC 27001:2022 – 情報セキュリティ、サイバーセキュリティ、プライバシー保護 - 情報セキュリティ管理システム - 要件です。

ISO/IEC 27001規格は、CENおよびCENELECによってEN ISO/IEC 27001と同様に採用されています。^[8]

ISO/IEC 27001 は、情報セキュリティを明示的な管理制御下に置くための管理システムを正式に規定しています。

ISO/IEC 27002には、セキュリティ管理適正基準BS 7799のパート 1 が組み込まれています。BS 7799 の最新バージョンは BS 7799-3 です。ISO /IEC 27002 は、 ISO 17799 または BS 7799 パート 1 と呼ばれることもあれば、パート 1 とパート 7 を指すこともあります。BS 7799 パート 1 は、サイバーセキュリティ管理の概要または適正な実践ガイドを提供しますが、BS 7799 パート 2 と ISO/IEC 27001 は規範であり、認証のフレームワークを提供します。ISO/IEC 27002 は、サイバーセキュリティに関する高レベルのガイドです。組織の管理者が ISO/IEC 27001 規格の認証を取得するための説明ガイダンスとして最も役立ちます。認証は、取得後 3 年間有効です。監査組織によっては、3 年間に中間監査がまったく行われないか、一部が実施される場合があります。

ISO/IEC 27001 (ISMS) は BS 7799 パート 2 に代わるものです。ただし、下位互換性があるため、BS 7799 パート 2 の取得を目指す組織は、簡単に ISO/IEC 27001 認証プロセスに移行できます。移行監査も利用できるため、組織が BS 7799 パート 2 認証を取得したら、ISO/IEC 27001 認証を取得するのが容易になります。ISO /IEC 27002は、情報セキュリティ管理システム(ISMS)の開始、実装、または保守の責任者向けに、情報セキュリティ管理に関するベスト プラクティスの推奨事項を提供します。ISO/IEC 27002 管理目標の実装に必要な情報セキュリティ システムを規定しています。ISO/IEC 27001 がなければ、ISO/IEC 27002 管理目標は効果がありません。付録 A では、ISO/IEC 27002 管理目標が ISO 27001 に組み込まれています。

ISO/IEC 21827 (SSE-CMM – ISO/IEC 21827) は、ISO 管理目標の成熟度を測定できるシステム セキュリティ エンジニアリング能力成熟度モデル (SSE-CMM) に基づく国際規格です。

この標準は、「コモン クライテリア」と呼ばれるものを開発します。これにより、さまざまなソフトウェアおよびハードウェア製品を安全な方法で統合およびテストできるようになります。

IEC/ISA 62443 サイバーセキュリティ規格は、産業オートメーションおよび制御システム(IACS)のプロセス、技術、要件を定義します。このシリーズのドキュメントは、ISA99 委員会と IEC TC65 WG10 の協力関係を通じて開発され、関係するすべての国の委員会が共通の規格に同意する IEC 規格作成プロセスを適用しています。

すべての IEC 62443 規格および技術レポートは、一般、ポリシーと手順、システム、およびコンポーネントの4 つの一般カテゴリに分類されます。

1. 最初のカテゴリには、概念、モデル、用語などの基礎情報が含まれます。
2. 2 番目のカテゴリの作業成果物は、資産所有者を対象としています。これらは、効果的な IACS セキュリティ プログラムの作成と維持に関するさまざまな側面を扱っています。
3. 3 番目のカテゴリには、制御システムの安全な統合に関するシステム設計ガイドラインと要件を記述した作業成果物が含まれます。その中核となるのは、ゾーン、コンジット、および設計モデルです。
4. 4 番目のカテゴリには、制御システム製品の特定の製品開発と技術要件を記述した作業成果物が含まれます。

ISO/SAE 21434「道路車両 - サイバーセキュリティエンジニアリング」は、ISOとSAEのワーキンググループが共同で開発したサイバーセキュリティ規格です。道路車両の開発ライフサイクルにおけるサイバーセキュリティ対策を提案しています。この規格は2021年8月に発行されました。^[9]

この規格は、現在策定中のサイバー セキュリティに関する欧州連合 (EU)規制に関連しています。EU と連携して、 UNECE は車両型式承認に必須のサイバー セキュリティ管理システム(CSMS) 認証を作成しました。これは包括的な UN 規制 155 で定義されています。ISO/SAE 21434 は、これらの規制への準拠を実証できる自動車開発の技術規格です。

この派生として、車両のサイバーセキュリティとソフトウェアアップデートに関する規制を規定するUNECE WP29がある。^[10]

ETSI EN 303 645規格は、消費者向けモノのインターネット（IoT）デバイスのセキュリティに関する基本要件を提供しています。インターネットに接続された消費者向けデバイスの開発者と製造業者向けの技術的管理と組織的ポリシーが含まれています。この規格は2020年6月にリリースされ^[11]、他のより具体的な規格を補完することを目的としています。多くの消費者向けIoTデバイスは個人を特定できる情報（PII）を扱うため、この規格を実装することで、EUの一般データ保護規則（GDPR）に準拠することができます。^[12]

この欧州規格のサイバーセキュリティ規定は次のとおりです。

1. 普遍的なデフォルトパスワードはない
2. 脆弱性の報告を管理する手段を実装する
3. ソフトウェアを最新の状態に保つ
4. 機密性の高いセキュリティパラメータを安全に保存する
5. 安全に通信する
6. 露出した攻撃対象領域を最小限に抑える
7. ソフトウェアの整合性を確保する
8. 個人データの安全性を確保する
9. システムの停止耐性を高める
10. システムテレメトリデータの調査
11. ユーザーがユーザーデータを簡単に削除できるようにする
12. デバイスの設置とメンテナンスを簡単にする
13. 入力データを検証する

これらのベースライン要件の適合性評価はTS 103 701規格に基づいて行われ、自己認証または他のグループによる認証が可能です。^[13]

以下のサブセクションでは、サイバーセキュリティに関連する国家標準とフレームワークについて詳しく説明します。

電力業界向けの情報セキュリティ標準を作成する最初の試みは、2003年にNERCによって作成され、NERC CSS（サイバーセキュリティ標準）として知られていました。^[14] CSSガイドラインに続いて、NERCはそれらの要件を進化させ、強化しました。最も広く認識されている最新のNERCセキュリティ標準は、NERC 1200の修正/更新であるNERC 1300です。NERC 1300の最新バージョンは、CIP-002-3からCIP-009-3（CIP =重要なインフラストラクチャ保護）と呼ばれています。これらの標準は、NERCが他の分野でも標準を作成していますが、バルク電力システムのセキュリティを確保します。バルク電力システムの標準は、ベストプラクティスの業界プロセスをサポートしながら、ネットワークセキュリティ管理も提供します。^[1]

1. NISTサイバーセキュリティフレームワーク（NIST CSF）は、「サイバーセキュリティの成果の高レベルの分類と、それらの成果を評価および管理する方法論を提供します。」これは、重要なインフラストラクチャを提供する民間セクターの組織に、それを保護する方法に関するガイダンスと、プライバシーと市民の自由に関する適切な保護を提供することを目的としています。^[15]
2. 特別刊行物 800-12 は、コンピュータ セキュリティと制御の分野について幅広い概要を提供しています。また、セキュリティ制御の重要性とそれを実装する方法についても強調しています。当初、この文書は連邦政府を対象としていましたが、この文書のほとんどの実践は民間部門にも適用できます。具体的には、機密システムの取り扱いを担当する連邦政府の担当者向けに書かれています。^[2]
3. 特別刊行物 800-14 では、一般的に使用されているセキュリティ原則について説明しています。この文書では、コンピュータ セキュリティ ポリシーに組み込むべき内容について高レベルで説明しています。また、既存のセキュリティを向上させるために何ができるか、新しいセキュリティ プラクティスを開発する方法についても説明しています。この文書では、8 つの原則と 14 のプラクティスについて説明しています。^[3]
4. 特別刊行物800-26は、ITセキュリティの管理方法に関するアドバイスを提供しています。これはNIST SP 800-53 rev3に置き換えられました。この文書では、リスク評価だけでなく自己評価の重要性も強調しています。 ^[4]
5. 2010 年に更新された特別出版物 800-37 では、新しいリスク アプローチ「連邦情報システムへのリスク管理フレームワークの適用ガイド」が提供されています。
6. 2013 年 4 月に発行され、2014 年 1 月 15 日時点の更新を含めるように更新された特別出版物 800-53 rev4「連邦情報システムおよび組織のセキュリティとプライバシー管理」では、システムを「より安全に」するために適用される 194 のセキュリティ管理について具体的に説明しています。
7. 2017年6月に発行され、2017年12月1日時点の更新を含むように更新された特別出版物800-63-3「デジタルアイデンティティガイドライン」は、ユーザーのアイデンティティ証明、登録、認証を含むデジタルアイデンティティサービスの実装に関するガイドラインを提供します。^[5]
8. 2015年5月に改訂された特別刊行物800-82、第2版「産業用制御システム（ICS）セキュリティガイド」では、ICSに固有のパフォーマンス、信頼性、安全性の要件を考慮しながら、複数のタイプの産業用制御システムをサイバー攻撃から保護する方法を説明しています。^[6]

連邦情報処理標準 ( FIPS )の 140 シリーズは、暗号化モジュールの要件を規定する米国政府のコンピュータ セキュリティ標準です。FIPS 140-2とFIPS 140-3 はどちらも現在有効なものとして認められています。

Cyber​​ Essentials は、英国政府の情報保証制度であり、国立サイバー セキュリティ センター (NCSC)が運営しています。組織が情報セキュリティの優れた実践方法を採用することを奨励しています。また、Cyber​​ Essentials には、インターネットからの脅威から情報を保護するための保証フレームワークとシンプルなセキュリティ制御のセットも含まれています。

オーストラリアサイバーセキュリティセンターは、サイバーセキュリティインシデントを軽減するための戦略という形で、組織がさまざまなサイバー脅威から身を守るための優先順位付けされた軽減戦略を開発しました。これらの軽減戦略の中で最も効果的なのは、エッセンシャルエイトと呼ばれています。^[16]

連邦情報セキュリティ庁（ドイツ語：Bundesamt für Sicherheit in der Informationstechnik、略称BSI）の規格は、ITベースライン保護（ドイツ語：IT-Grundschutz）方法論の基本構成要素です。情報セキュリティのさまざまな側面に関する方法、プロセス、手順、アプローチ、対策に関する推奨事項が含まれています。公的機関、企業、メーカー、サービスプロバイダーのユーザーは、BSI規格を使用して、ビジネスプロセスとデータをより安全にすることができます。^[17]

• BSI 規格 100-4 は、事業継続管理 (BCM)をカバーしています。
• BSI 規格 200-1 は、情報セキュリティ管理システム (ISMS) の一般的な要件を定義します。ISO 27001 と互換性があり、ISO 27002 などの他の ISO 規格の推奨事項を考慮しています。
• BSI 規格 200-2 は、健全な情報セキュリティ管理システム (ISMS) を確立するための BSI の方法論の基礎となります。IT ベースライン保護を実装するための 3 つの手順を規定しています。
• BSI 規格 200-3 は、IT ベースライン保護を実装する際のリスク関連のすべての手順をまとめたものです。

以下のサブセクションでは、特定の業界に関連するサイバーセキュリティの標準とフレームワークについて詳しく説明します。

ペイメント カード業界データ セキュリティ標準 (PCI DSS) は、主要なカード スキームのブランド クレジットカードを扱う組織向けの情報セキュリティ標準です。PCI 標準はカード ブランドによって義務付けられていますが、Payment Card Industry Security Standards Council によって管理されています。この標準は、カード所有者データに関する管理を強化してクレジットカード詐欺を減らすために作成されました。

UL 2900 は、 ULが発行する一連の規格です。この規格には、一般的なサイバーセキュリティ要件 (UL 2900-1) のほか、医療製品 (UL 2900-2-1)、産業システム (UL 2900-2-2)、セキュリティおよび生命安全信号システム (UL 2900-2-3) に関する特定の要件が含まれています。

UL 2900 では、製造業者に対し、自社製品に使用されているテクノロジの攻撃対象領域を記述し、文書化することを義務付けています。また、想定される使用および展開環境に基づいた脅威のモデル化も義務付けています。この規格では、機密 (個人) データやコマンド アンド コントロール データなどのその他の資産を保護する効果的なセキュリティ対策が義務付けられています。さらに、ソフトウェアのセキュリティ脆弱性が排除され、多層防御などのセキュリティ原則が遵守され、侵入テストを通じてソフトウェアのセキュリティが検証されていることも義務付けられています。

国際標準化機構(ISO) は、167 か国の国家標準化機関のコンソーシアムとして組織された国際標準化機構であり、スイスのジュネーブにある事務局を通じて調整されています。ISO は、世界最大の国際標準の開発機関です。国際電気標準会議(IEC) は、電気技術を扱い、ISO と密接に協力している国際標準化機構です。情報セキュリティの専門家にとって特に興味深いのは、ISO/IEC 15443:「情報技術 - セキュリティ技術 - IT セキュリティ保証のフレームワーク」、 ISO/IEC 27002 :「情報技術 - セキュリティ技術 - 情報セキュリティ管理の実践規範」、ISO/IEC 20000 :「情報技術 - サービス管理」、およびISO/IEC 27001 :「情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件」です。

米国国立標準技術研究所(NIST) は、米国商務省内の非規制連邦機関です。NIST のコンピュータ セキュリティ部門は、標準、測定基準、テスト、検証プログラムを開発し、安全な IT 計画、実装、管理、運用を強化するための標準とガイドラインを発行しています。NIST は、米国連邦情報処理標準(FIPS) の発行元でもあります。

インターネット協会は、 180 か国以上で 100 を超える組織と 20,000 人を超える個人会員を擁する専門会員制の協会です。インターネットの将来が直面する問題への取り組みにおいてリーダーシップを発揮し、インターネット技術タスク フォース(IETF) やインターネット アーキテクチャ ボード (IAB) など、インターネット インフラストラクチャ標準を担当するグループの組織的拠点となっています。ISOC は、公式インターネット プロトコル標準や RFC-2196サイト セキュリティ ハンドブックなどの RFC (Requests for Comments) をホストしています。

情報セキュリティ専門家協会( IISP) は、会員によって運営される独立した非営利団体であり、情報セキュリティ専門家の専門性を高め、ひいては業界の専門性を高めることを主な目的としています。この協会は、IISP スキル フレームワークを開発しました。このフレームワークは、情報セキュリティおよび情報保証の専門家が効果的に役割を遂行するために期待される能力の範囲を説明しています。これは、民間および公共部門の組織、世界的に有名な学者、セキュリティ リーダーの協力によって開発されました。^[18]

ドイツ連邦情報セキュリティ庁（ドイツ語：Bundesamt für Sicherheit in der Informationstechnik (BSI)）のBSI規格100–1から100-4は、「情報セキュリティに関連する方法、プロセス、手順、アプローチ、および対策」を含む一連の推奨事項です。^[19] BSI規格100-2 IT-Grundschutz方法論は、情報セキュリティ管理をどのように実装および運用するかについて説明しています。この規格には、ITベースライン保護カタログ（IT-Grundschutzカタログ）という特定のガイドが含まれています。2005年より前のカタログは、「ITベースライン保護マニュアル」と呼ばれていました。カタログは、IT環境（ITクラスター）のセキュリティ関連の弱点を検出して対処するために役立つドキュメントです。2013年9月現在、コレクションには、序文とカタログを含めて4,400ページ以上が含まれています。IT-Grundschutzアプローチは、ISO/IEC 2700xファミリーと一致しています。

欧州電気通信標準化機構は、 Industrial Specific Group (ISG) ISI が主導する 情報セキュリティ指標のカタログを標準化しました。

• 最高情報セキュリティ責任者
• コンピュータセキュリティ
• 制御システムのセキュリティ
• 情報セキュリティ
• 情報保証
• サイバーセキュリティ投資のためのゴードン・ローブモデル

1. ^国土安全保障省、石油・ガス部門が策定したサイバーセキュリティ標準の比較。(2004 年 11 月 5 日)
2. ^ Guttman, M.、Swanson, M.、米国国立標準技術研究所、技術局、米国商務省、情報技術システムのセキュリティ保護に関する一般に認められた原則と実践 (800–14)。(1996 年 9 月)
3. ^米国国立標準技術研究所、技術局、米国商務省、「コンピュータセキュリティ入門：NIST ハンドブック」、特別出版 800-12。
4. ^ Swanson, M.、米国国立標準技術研究所、技術局、米国商務省、情報技術システムのセキュリティ自己評価ガイド (800–26)。
5. ^ Grassi, P.; Garcia, M.; Fenton, J.;国立標準技術研究所;米国商務省、デジタルアイデンティティガイドライン (800-63-3)。
6. ^ Stouffer, K.; Pillitteri, V.; Lightman, S.; Abrams, M.; Hahn, A.; 米国国立標準技術研究所、米国商務省、産業用制御システム (ICS) セキュリティ ガイド (800–82)。
7. ^北米電力信頼性協議会 (NERC) http://www.nerc.com. 2005 年 11 月 12 日閲覧。
8. ^連邦金融機関検査評議会 (FFIEC). https://www.ffiec.gov. 2018年4月18日閲覧。

• IEC サイバーセキュリティ
• ISO 27001 情報セキュリティ
• NERC CIP 規格
• イリノイ大学ウィリアム・サンダース教授によるプレゼンテーション
• グローバルサイバーセキュリティ政策会議
• NIST サイバーセキュリティフレームワークの 10 分ガイド 2021-04-14 にWayback Machineでアーカイブされました
• 連邦金融機関検査評議会 (FFIEC) の Web サイト
• CIS 重要セキュリティ管理
• 英国NCSC共通基準
• ISO/SAE 21434 現場における課題
• 世界のサイバー保険市場の将来