特集Ⅱ いまから取り組む製造業の情報セキュリティマネジメント

第二部

JQAと始める情報セキュリティマネジメントの第一歩

当機構は、これから情報セキュリティマネジメントに取り組み始める企業が、まず自社の状況を把握するために利用することができるツールとして「情報セキュリティ簡易診断」サービスを開始しました。このサービスの特長や期待される効果について、企画センター ソリューションビジネス開発部 部長の宮下卓士に聞きました。

企画センター
ソリューションビジネス開発部 部長
宮下 卓士

新サービス
「情報セキュリティ簡易診断」
開始

今回新しく「情報セキュリティ簡易診断」を開

情報セキュリティ簡易診断は、どのような流れ発した背景をお聞かせください。

で進めるのでしょうか。

宮下 当機構は情報セキュリティマネジメントシステム

宮下（ISO/IEC 27001）の審査を長く行っていますが、認チェックシート」使って行います。お客さまにはまずこの証取得に関するお問い合わせ・ご相談を受ける中で、チェックシートに沿って自社の状況を自己点検していた

情報セキュリティに関する取り組みの必要性を感じてだきます。その後JQAの診断員がお客さまを訪問し、いても、実際に何から始めるのか、どのような対策を講

チェックシート・自己点検結果を基にお客さまの情報セじたら良いのか、という悩みを持っていらっしゃる企業

キュリティ対策の取り組みを評価します。チェックシーが多いと感じています。特に製造業の場合、品質管ト・自己点検でわからないところがあっても、診断員が理・製造技術などの知見や経験は多くお持ちですが、一緒に診断しますので問題ありません。わからないとこ

情報セキュリティ対策となると、知見や経験がやや少ろをどんどん診断員に聞いていただければと思います。

情報セキュリティ簡易診断は、専用の「診断ないため、情報セキュリティ対策が進捗していないことが多いようです。

■ 図1

簡易診断の流れ

そのような情報セキュリティ対策を検討して実施することが、難しいと感じている企業に、基本的なことをJQAと一緒に確認することから始めませんか、というのSTEP 1

お申込み受付後、診断実施日を調整

STEP 2

チェックシートに基づいてお客さまの状況をあらかじめ自己点検お申し込みがこのサービスを開発した意図です。
例えば「敷地内への人の出入管理」「パソコン利用者の登録」など、業種を問わず一般的に企業が実施する情報セキュリティ対策の基本があります。この診断実施前

ような基本となる事項を、専門性を有するJQAの診断員と一緒に確認することで、「こういうところの対策をしていけばいいのか」ということがご理解いただける

STEP 3

診断当日

JQA認定診断員が訪問の上、チェックシートおよび自己点検結果を基に情報セキュリティ体制と運用・管理状況を診断と思います。

Vol.30 ● ISO NETWORK 29

なお、
このサービスに必要な日数と料金は、1日程度イメージがわかりにくいと感じる企業も多いでしょう。そ（約5時間）
で、100,000円（税別）です。また、報告書のような企業にこのサービスを活用していただければ、は発行いたしません。

情報セキュリティマネジメントの第一歩を踏み出していただくことができるサービスだと考えています。

情報セキュリティマネジメントやISO/IEC27001の知識がない状態でも受けてもいいこのサービスを受けることで、どのような効果のでしょうか。

が期待できるでしょうか。

宮下

宮下

全く問題ありません。ISO/IEC 27001の規格内容を見ても、具体的な情報セキュリティ対策の情報セキュリティ対策に取り組むために、何をすればいいのかが明確になる、ということがいえるでしょう。企業の情報管理の現状を把握し、情報セキュ■ 図2 こんな組織におすすめです

ソースと社内体制などについて、取り組むべきポイント◦取引先から情報セキュリティの取り組みを求められている組織とのギャップを明らかにします。現状何ができているの◦情 報セキュリティ対策として、何から手をつけていいのかわからない組織

りした情報セキュリティマネジメントシステムを構築す◦情報セキュリティ対策の必要性を感じながらも、始めるきっかけがなかった組織ることで、結果的に大きく回り道することなくISO/IEC◦ISO/IEC 27001の認証取得を検討している組織■ 図3

か、また逆に何が不足しているのかがわかれば、しっかる道筋が描けるようになります。
このサービスを利用す27001の認証取得を見通すこともできるのではないかと思います。
■

期待される効果

情報セキュリティ簡易診断

30 ISO NETWORK ● Vol.30

リティ対策のために必要になる知識やスキル、人的リどういう知識やスキルが必要になるかがわかる
人的リソースと体制整備の基礎がわかる
システム構築・運用のヒントが得られる
現状を把握し、次のステップへの糸口がつかめる

情報セキュリティ
簡易診断

組織の情報セキュリティ向上の第一歩になります。

特集Ⅱ いまから取り組む製造業の情報セキュリティマネジメント

情報セキュリティ管理基準による診断チェックシート
情報セキュリティ簡易診断で用いるチェックシートは、経済産業省策定の「情報セキュリティ管理基準」のうちの「管理策基準」に基づいて、企業が情報セキュリティに取り組むための具体的なチェックポイントがわかりやすく解説されています。
■ 図4

診断チェックシート
（抜粋）
項 番

解 説

確認内容

モ バ イル 機 器とは 、スマートフォン 、持ち出しするパソコン（ 無 線を使ってインターネットに 入 ることを含む。）、ハンディターミナ ル など 、移 動 可 能 な機 器を使う場 合 の 会 社として の 方 針（ 考 え 方 ）や 使 用 方 法 など の ル ー ルを決 めることで す 。
ここで 言うモ バ イル 機 器を使 用 する上 で の 方 針 は 、5 ．
1．
1 で 記 載した 方 針 群の 一 つとなります 。

モ バ イル 機 器を使 用 す るた
めの 方 針は作 成して いるか

判 定 メモ

6 . 2 モ バイル 機 器 及 び
テレワ ー キング

6.2.1 モ バ イル 機 器 を 用 いることによって 生じ るリスクを管 理 するた めに 、方 針 及 び そ の 方針を 支 援 す るセキュリ
ティ対 策を採 用 する。

モ バ イル 機 器を使 用 す るた
め の 使 用 方 法 、禁 止 事 項 な
どル ールを作 成して いるか

7.3 雇用の終了及び変更
7.3.1 雇 用 の 終 了 又 は 変 更の 後 もな お 有 効 な 情報 セキュリティに 関 する責 任 及 び 義 務を定め 、そ の 従 業 員 又 は
契 約 相 手 に 伝 達し、かつ 、遂 行させる。

従 業 員 、派 遣 社 員 、パ ートタイマー 、アル バ イトなど 全 て の 従 業 員 が 、退 職 す 退 職 時 や 異 動 時 などに 際しる場 合 や 人 事 異 動 で 部 署 が 変 わる場 合 、退 職 者 や 異 動 者 が 行うべき責 任 や て 、情 報 セキュリティに 対し
追って いる義 務 の 内 容を明 確にして 、その 人に内 容を伝えて 、遵 守させること て 引き 続き 所 有 す る責 任 やです。
義 務を定 めて いるか
例 えば 、退 職 者 する方 に 、仕 事 で 知った 取 引 先 や 製 造 物 など の 情 報を、同 業
上 記 で 決 定し た 責 任 や 義者に 話 すことは 禁 止 する、退 職してもその 責 任を所 有して いることを伝える、務 を 従 業 員 や（ 委 託 先 など
退 職 時に退 職 後 の 機 密 保 持 合 意 書に署 名してもらうなどで す 。の ）契 約 相 手 に 伝 達し て 、また 、人 事 業 務から営 業 業 務などに 異 動 する場 合に 人 事 情 報 へ のアクセスの遂 行させて いるか 。
必 要 性はなくなります 。
（ 管 理 職 で 、部 下 の 情 報を見ることはあるえますが ）人 事 業 務を行って い たときに 知り得 た 従 業 員 の 情 報などを他 の 従 業 員に 話したりしてはいけないことを引き続き遵 守 することなどもあります 。

8 . 1 資 産 に 対 する責 任
8.1.4 全ての従業員及び外部の利用者は、雇用、契約又は合意の終了時に、自らが所持する組織の資産の全てを返却する。

社員、契約社員、アルバイト、派遣社員といったあらゆる形態の従業員が、退職する場合 組織（会社）から離れる人々かは、全ての資産（パソコン、メールアドレス、職員手帳、社員証など）を返却することを要 ら、貸与した資産を全て返却さ求しています。
せているか直接雇用者のみならず、外部委託先なども対象です。
例えば、製品輸送を契約している運送会社に入門証を貸与しているが、その運送会社と運送委託契約が終了したときに入門証を回収する必要があります。
貸与品が、多いときなど貸与時に渡したものをリスト化して、受領サインをもらっておき、退職時にそのリストに基づいて返却物を確認することなどが、考えられます。

8.3 媒体の取扱い
8.3.1 組織が採用した分類体系 構築された分類体系に従って、媒体（ＨＤＤ、USBメモリ、DVD、サーバのDISK装置など） 分類体系に従った取外し可能に従って、取外し可能な媒 に関する手順を構築することです。
な媒体の管理手順が策定され体の管理のための手順を 8.2.1と8.2.3が、関連する対策です。ているか実施する。
この項は、特に「取り外し可能な媒体」に対してですので、使用方法、使用者登録、暗号 上記の管理手順に従って、取外化、パスワード、持出、保管、データ復元を不可能にするなど、多岐にわたる管理方法を し可能な媒体の管理が実施さ検討する必要があります。
れているかこれらの管理方法を検討して、管理方法を実施することとなります。

11.1 セキュリティを保つべき領域
11.1.1 取扱いに慎重を要する又 サーバ、情報、製造技術（製造工程）、新規開発製品サンプル、顧客からの預かり品など 敷地、部屋、設備に関して物理は重要な情報及び情報処 情報や設備に対して、漏えい、盗難、火災や地震による破損などを起こさないために物 的なセキュリティ対策を行う具理施設のある領域を保護 理的な対策を講じることです。
体的な基準を定めているかするために、物理的セキュ 設置の基準の例として、リティ境界を定め、かつ、 ・ラックなどを設置している部屋は、上階の床下から、現在の床までの壁で囲う。
上記で定めた物理的なセキュ用いる。
・無窓とし、窓ガラスが有る場合は格子を設置し、飛散防止シートを貼る。
リティ対策の基準に基づき、セ・入室・退室の管理装置を設置する。
・紙、サンプルなどの保管のため、中が見えない鉄製で、施錠できるロッカーを設置する。 キュリティ対策機器などを設置しているか・敷地に不正侵入されないように外周に侵入センターを設置する。
・死角や重要な部屋の出入口に監視カメラを設置する。
・敷地への門や一般訪問者の建物出入口などに受付を設置し、社員や一般者の入門を管理する。などが、考えられます。
新しいセキュリティ対策機器が、開発されるため、基準も見直していく必要があります。
設備投資がかかる事柄が多く、全てを設置しなければならないものではありません。投資計画に反映しながら、物理的対策を向上させていくことになります。

「情報セキュリティ管理基準」
は、業種や規模を問わず幅広い組織が適用できる実践的な情報セキュリティの規範として、国際規格ISO/IEC 27001およびISO/IEC 27002に準拠する形で策定された基準です。
このため、簡易診断はISO/IEC 27001とも整合性を持っており、組織が情報セキュリティ体制を国際標準に発展させていくことにもつながります。

Vol.30 ● ISO NETWORK 31