特集Ⅱ

第一部

いまから取り組む製造業の情報セキュリティマネジメント
まずは身の丈にあったシステムからモノのインターネット(IoT)化や人工知能(AI)技術が製造業を含む産業全体に普及し、情報セキュリティマネジメントに取り組む重要性が高まっています。
しかしながら、製造業においては、情報セキュリティマネジメントの取り組みが十分に浸透しているとはいえないのが現状です。第4次産業革命と呼ばれる技術革新による変化の中で、製造業はどのようなリスクにさらされているのか、対応するにはまず何から手をつけるべきなのか、ISO/IEC 27001主任審査員の川合浩司が解説します。

ISO/IEC 27001主任審査員
CSMS主任審査員
川合 浩司

製造業における情報セキュリティのいま
急速に高まる情報セキュリティ対策の必要性

情報セキュリティについての誤解
しかし、製造業においては、情報セキュリティマネジ

あらゆる産業において品質管理やコストダウンのためのIT化が着実に進められてきましたが、近年急速にメントの取り組みが十分に浸透しているとはいえないのが現状です。

普及しているIoT化や人工知能は産業や社会を根底これには、情報セキュリティというと、「個人情報保から変えると言われています。
これに伴って情報セキュ護」に注目し「当社はモノ作りだから、それほど重要なリティリスクも増大しており、対策を行うべき範囲は急個人情報は持っていない」と考えがちなことも一因とし速に拡大しています。てあるかと思います。
しかし多くの製造業では、取引先また、一つの企業が抱えるリスクのサプライチェーの情報、設計情報、品質情報、製造ノウハウなど、いっン全体への影響も考慮する必要があります。例えば

たん漏洩すると事業に大きな影響を与える可能性があ近年では、情報セキュリティが堅牢なターゲットを攻撃る情報を保有しています。それらの情報をしっかり守るするために、まずサプライチェーン内で比較的防御の甘い取引先を狙い、そこを踏み台にターゲットである企業を攻撃する手法が頻発しています。
この場合、踏み台に利用された企業は結果的に加害者になってしまい、その後の取引に重大な影響を及ぼすことが懸念されます。
このように、情報セキュリティに関するリスクは一企業にとどまらずサプライチェーン全体に影響を及ぼすようになっているため、取引先に対して情報セキュリティの取り組みの強化を促す企業が増えています。実際に、取引先から情報管理の取り組みについて問われたことがあるという企業は多いのではないでしょうか。

Vol.30 ● ISO NETWORK 23

ことが求められているのです。

なる固有技術や知的財産、新製品の開発情報を保有さらに、情報セキュリティというのは、情報漏洩対策しています。合併や買収、事業提携に関する情報もあに限ったものではありません。情報を必要なときに使るでしょう。
これらの情報を共有する範囲を決め、許可用できるように管理することも需要です。例えば、生産された者以外アクセスできないようにしっかりと管理す

ラインを動かす制御系システムのデータが壊れてしまる必要があります。

うと生産ラインが止まってしまうというリスクが考えられ②は生産の継続性に関わる問題です。生産設備をます。
「必要なときに使えるように情報を管理する」
とい動かしている情報（例：加熱温度と時間・加工内容なうこともまた、情報セキュリティにおいて重要な要素のど）が壊れてしまえば、品質の低下や製品事故の原因一つです。になったり、生産ラインが止まってしまったりします。生産システムの多くがコンピュータによってコントロールされている現在、データが破壊されてしまうことのほか製造業の情報セキュリティとは何かにも、サポートされていない古いソフトウェアで動いているパソコンのデータが使えなくなるなど、リスクにはさ製造業が取り組むべき情報セキュリティとしては、①まざまなものが考えられます。増大するリスクへの対応

お客さまから預かった設計図などの情報や自社が保有の甘さは、製品の品質や生産活動そのものに多大なしている情報の機密性を保持すること、②自社の生産影響を与える可能性があります。

ラインを稼働させるための情報（受発注データなども含む）を必要なときに利用できるようにすることが考えられます。
①は自社の信頼と競争力に関わる問題です。製造

ISO/IEC 27001は変化する脅威に対応する仕組み

業には外部に漏れてはならない情報が数多くあります。取引先から預かった情報が漏れれば、企業の信用ISO/IEC 27001は、情報セキュリティマネジメントシは失墜します。そのほかにも、企業は競争力の源泉とステムを確立・実施・維持し、継続的に改善するための国際規格です。
情報セキュリティに取り組むうえでポイントとなるのは、リスクマネジメントの考え方です。情報技術の進歩は非常に速く、また企業の事業内容や製造体制も変化していきます。情報セキュリティ対策はある時点では最新、完璧の対策であったとしても、すぐに陳腐化したり実情にそぐわなくなったりする可能性があります。変化する環境に対応するために、ISO/IEC27001には、想定される潜在的なリスクへの対策を選択し、継続的に改善していくPDCAの考え方が取り入れられています。
認証機関によるISO/IEC 27001の審査を受けることで、企業自身が気づいていないリスクに気づくということもあります。情報を取り巻く状況が激しく変化する中で、一つの企業だけで全ての変化に適切に対応す

24 ISO NETWORK ● Vol.30

特集Ⅱ いまから取り組む製造業の情報セキュリティマネジメントるのは簡単なことではありません。審査を受けることでにあらかじめ示されているということがあげられます。情定期的に第三者の視点でチェックする仕組みが整い

報セキュリティのための方針群、組織、人的資源、資ますから、情報セキュリティに取り組むうえで非常に有産、アクセス制御など14の箇条にわたって管理策が効だといえるでしょう。

記載されており、ISO/IEC 27001に取り組む企業は、また、ISO/IEC 27001の特長として、対策が必要な情報セキュリティリスクに対してどのように対応すべき自社の状況や、情報セキュリティリスクに合わせて必要な管理策を参照することができるのです。

かを示す管理策が、必要な対策の見落としを防ぐため

情報セキュリティマネジメントシステム構築のポイント「リスクアセスメント」
ここからは、情報セキュリティマネジメントシステム構洗い出す必要があるため、まず目録を作成します。企

築の重要なポイントである「リスクアセスメント」の進め

業は、設計図や注文書、顧客データのような情報その方を解説します。

もののほかに、そのような情報を取り扱うためのコン

リスクアセスメントとは、情報セキュリティに関するリピュータシステム、ネットワークなどの情報資産を保有スクを洗い出し、その特性やレベルを分析・評価するこしています。これらの情報資産を棚卸しして一覧を作とです。まず自社が持つ情報および情報処理施設に成します。個々のデータを十把ひとからげに並べるの関連するその他の資産（以下、情報資産）に関するリではなく、それぞれの情報資産の特性（例：紙／電子スクを明確にすることから始めるのが良いでしょう。

データ、保管場所など）に応じて分類していくと、この次のリスク分析を行う上で良いでしょう。
最近は情報システム自体を外部の情報通信システ

情報資産の一覧を作成し、分類する

ム会社に委託したり、データのやり取りや保存場所としてクラウドのような外部のサービスを利用している情報資産に関するリスクを明確にするためには、そもそも企業がどんな情報資産を保有しているのかを■ 図1

情報資産の例

分類資産の例

ハードウエア

サーバ、クライアントパソコン、周辺機器、ネットワーク機器

ソフトウエアOS、アプリケーション、ユーティリティ

データ

顧客情報、受注情報、経理情報

記録媒体

磁気記録、光記録、その他バックアップ

施設・設備

社屋、サーバルーム、空調設備、防火設備、電源装置

紙媒体・書類

契約書、手順書、規程集

人間

正社員、契約社員、顧客

Vol.30 ● ISO NETWORK 25

ケースも増えています。
このように一見すると社内にはウイルスに感染するという脅威が発見されることもありない情報も、企業の情報資産としてリストアップするのます。全てのリスクに自力で気づくのは難しい面もあるを忘れないように注意してください。

ため、まずはこのリスク分析の部分を外部の専門家に手伝ってもらうという方法も考えられるでしょう。

現状を把握し、リスク分析を行う
目録によって企業にどのような情報資産があるか明

リスク分析の結果に基づいて対応方法を決める

らかになったら、重要性、考えられる脅威、脅威に対するぜい弱性（つけこまれやすさ）、事故が発生した場合分析の結果、それぞれのリスクに対して、どのようなの影響の大きさなどの観点からそれぞれの情報資産対応をとるのかを決めます。ここで参照するのが管理を分析し、評価していきます。そして、優先順位の高い策です。企業は、リスク分析の結果明らかになった自社情報セキュリティリスクを特定します。の状況に応じて「この管理策を実施する」「この管理リスク分析によって、それまで気づかなかった現状策は状況に合わないので採用しない」という決定を行に潜むリスクが明らかになることもあります。例えば、います。例えば、開発を全く行っていない企業であれ「データの受け渡しにUSBメモリやディスクなどの媒ば、開発に関する管理策を採用する必要はないでしょ

体を使っている」という運用がされており「ネットワークう。もちろん、企業の状況に合った管理策が規格ににつながっていないから問題になることはない」と考載っていなければ、他の方法を採用して対応します。

えていたとしても、媒体そのものが壊れたり紛失してしまったりする、あるいは媒体経由で生産システムが定めて実行する

現状：保管している部屋の入室時に暗証番号を入力する

リスク（脅威・ぜい弱性）

入室に使用する暗証番号に対する変更のルールを

情報資産：顧客から預かった新製品の設計図

秘匿性が高い特定されたリスクへの対応の例（図2の場合）■ 図2 リスク分析の例

重要性

■ 図3

（管理策 A.9.3.1）

影響の大きさ

何年も同じ暗証番号を 情報を外部に持ち使用している
出されてしまい、→退職者などから外部に 顧客からの信用を失うもれてしまう危険がある

企業によって抱えるリスクは異なりますから、リスク分析の結果、企業が具体的にどのような管理策を講じるのかはさまざまです。例えば「書類を鍵のかかるキャビネットに入れる」としている会社（A）もあれば、そうではない会社（B）もありますが、そのために会社（B）が直ちに要求事項に対して不適合となるわけではありません。会社（B）
はキャビネットのある部屋自体の入退室を厳重に管理し、関係者以外の入室を厳しく制限しているためキャビネットに鍵をかける必要はない、という対策が必要

26 ISO NETWORK ● Vol.30

判断がされているのであれば、リスク分析の結果に基づいた対応がとられていると言えるでしょう。書類のセ特集Ⅱ いまから取り組む製造業の情報セキュリティマネジメントキュリティを確保するために「部屋の出入りの管理をク分析を行い、その結果を反映した対応がとられてい厳重にする」、さらに「キャビネットに鍵をかける」など、るかがポイントとなります。

どこまでの対策を行うことにしても、それがリスク分析の結果とひもづいていれば良いのです。

実施する管理策が決まったら、企業は管理策の適リスク分析の結果、「 対策を講じない」つまり「リスク用状況（適用する管理策／適用しない管理策、そのを受容する」、と判断することもまた対応方法の一つで管理策を適用しない理由など）を記載した「適用宣言す。その場合も、そのリスクの持つ影響の大きさや発書」を作成します。適用宣言書を作成することで、その生可能性の高さ、対策にかかるコストといった要素を企業が情報セキュリティに関してどのような管理策を総合的に分析し、企業としての判断が対応方法に反講じているのかが一目でわかるようになります。

映されていることが重要です。
ISO/IEC 27001の審査で認証機関は、このようなリスク分析の妥当性を重視しています。
どのようにリストップのリードで身の丈にあったシステムを構築し、成果を上げる
情報セキュリティマネジメントシステムの担当者に必要なスキルとは目的と範囲を明確にして外部のリソースも活用する

ISO/IEC 27001に基づいた情報セキュリティマネ

企業内部のリソースが足りない場合、コンサルタント

ジメントシステムを構築し運用するには、マネジメントシやシステムインテグレーターなどのIT専門企業、近年ステムに関する知見やスキルに加え、情報システムに経済産業省が養成を進めている中小企業向けの情関する知見やスキルも求められます。とはいえ、企業に報セキュリティ専門家などの外部リソースを活用する

よっては両方の知見やスキルを兼ね備えた人材が確方法もあります。その場合、システム構築・運用のどの保できないこともあるでしょう。

部分を外部リソースに依頼するのか、すなわち外部リその場合は、マネジメントシステムのスキルのある従

ソースに何を期待するのかを具体的に決めておくこと

業員とITの素養のある従業員とがペアを組んで進めが大切になります。認証取得までを段階的に考えると、る方法が考えられます。もしISO 9001の認証を取得し「リスク分析の部分を手伝ってください」「 具体的な手ている企業であれば、その事務局担当者もしくは経験順書を作ってください」「手順書の作成と教育を行っ者とともに、情報システムの運用に携わってきた担当てください」「内部監査のやり方のアドバイスをくださ者が協力してシステムを構築すると効果的でしょう。

い」「登録審査をサポートしてください」というような依頼内容になっていくでしょう。ただし、外部リソースに任せっきりにしてしまい、企業の実情に合わない重たいシステムを構築してしまう危険性には十分注意してください。外部からのアドバイスを受けることの目的は、あく

Vol.30 ● ISO NETWORK 27

までも最終的に内部リソースだけでマネジメントシステムを回せるようにすることにあります。

JQAの審査では最初に経営者へのヒアリングを行いますが、そこで、経営者がどれくらい本気なのか、セまた、まず情報収集をするというのであれば、独立行キュリティに対してどのような企業文化を持っているか

政法人 情報処理推進機構（IPA）が提供するウェブサなどを確かめています。
「入札参加資格になっているか

イトの情報セキュリティに関するコンテンツやセミナー

らISO/IEC 27001の認証を取得する」「 競合他社がなどのイベントは参考になるでしょう。もちろんJQAでやっているからうちもやる」というような判断で取り組みも、新たにISO/IEC 27001の導入を検討している企

始めた企業もあるようですが、やはり、外部環境の変業のためのセミナーや、業務相談や予備評価などの化に対応しながら継続的な改善を実践していくためにサポートサービスを用意しています。
また、これから新たは、経営者の本気の関与が重要だと思います。に情報セキュリティに取り組もうとする企業を対象とし最後に、ISO/IEC 27001の取り組みで成果を上た「情報セキュリティ簡易診断」（ →第二部 29ページ

げるために大切なことは、常に身の丈に合った情報セ参照）のサービス提供も開始しました。企業の状況にキュリティマネジメントシステムの維持に気をつけるこ応じて、適宜このような外部サービスを利用していくととです。

良いでしょう。

ISO/IEC 27001は現状を把握しリスクに優先順位をつけて取り組むものです。あまり難しく考えずに、トップマネジメントの判断のもとメリハリをつけて取りトップマネジメントの判断のもと、メリハリをつけて取り組む組み、身の丈にあったマネジメントシステムを構築しPDCAを回していくことで、少しずつレベルアップすることを目指すのが良いでしょう。

これは他のマネジメントシステムにも共通していえる■ことですが、内部のリソースを活用するにしても、外部に委託するにしても、いずれにしてもうまくマネジメントシステムを構築・運用していくためにはトップマネジメン
トの理解と関与が不可欠です。
トップの号令のもと、情報セキュリティマネジメントに取り組まれる組織体制を作り、企業の状況に合った情報セキュリ

製造業のお客さまのお問い合わせ先ティの方針を定めて、全社をあげて取り組めるようにしなければなりません。

一般財団法人 日本品質保証機構
マネジメントシステム部門 企画センター
カスタマーリレーション部
TEL: 03-4560-5710
E-mail: ms-suishin@jqa.jp※当機構は製造業を熟知した情報セキュリティマネジメ
ントシステム審査員を擁しています。情報セキュリティ
簡易診断を含めお気軽にお問い合わせください。

28 ISO NETWORK ● Vol.30