サイバーセキュリティの監査

1月29日
特定非営利活動法人日本セキュリティ監査協会
エグゼクティブフェロー
永宮直史

Copyright2020 Japan Information Security Association All rights reserved

1

www.jasa.jp

CONTENTS
0. 自己紹介
1. 情報セキュリティとサイバーセキュリティ
2. サイバーセキュリティのリスク判断
3. ガバナンス・マネジメント・コントロール
4. 基本となる情報セキュリティ監査
5. サイバーセキュリティの監査
6. 監査役の役割

Copyright2020 Japan Information Security Association All rights reserved

2

www.jasa.jp

自己紹介◼ 永宮 直史 （ながみやただし） 特定非営利活動法人 日本セキュリティ監査協会 エグゼクティブフェロー
 公認情報セキュリティ主席監査人
 委員等◆ 政府機関におけるクラウドサービスの安全性評価に関する検討会委員◆ 産業サイバーセキュリティ研究会WG1第３層TF 構成員◆ エネルギー・リソース・アグリゲーション・ビジネス検討会サーバーセキュリティWG委員◆ ISO/IEC JTC1 SC27 WG1及びWG4国内委員◆ クラウドセキュリティコントロール標準化専門委員会委員（2016年度まで）◆ IoTセキュリティガイドライン SC 27/WG 4対応 小委員会委員

 2015年 情報セキュリティ文化賞受賞、2019年 標準化貢献賞受賞
 略歴◆ 1973年野村総合研究所入社；公共政策立案等のコンサルティング◆ 1996年インターネット事業関連部署の事業企画室長（セキュリティ事業立上）◆ 1999-2002年ソウル支店長（地域計画、インターネット事業調査）◆ 2002-2006年日米合弁のセキュリティベンチャー企業CTO、CSO◆ 2006-2011年金融持ち株会社情報セキュリティ事務局◆ 2011-2019年8月 日本セキュリティ監査協会事務局長◆ 2019年9月- 現職
Copyright2020 Japan Information Security Association All rights reserved

3

www.jasa.jp

1.情報セキュリティとサイバーセキュリティ
2.
3.
4.
5.
6.

サイバーセキュリティのリスク判断
ガバナンス・マネジメント・コントロール
基本となる情報セキュリティ監査
サイバーセキュリティの監査監査役の役割Copyright2020 Japan Information Security Association All rights reserved

4

www.jasa.jp

概念の比較
情報セキュリティ

サイバーセキュリティ

定義

機密性・完全性・可用性を守ること

サイバーリスクから人・組織・社会の安全を保つこと

範囲

情報（デジタル、アナログ、物理媒体）

サイバー空間リスク

情報の棄損

人的・物的損害※サイバーリスク：サイバー空間における脅威がもたらすリスク
サイバー空間：ネットワーク、サービス、システム及びプロセスにより相互接続されたデジタル空間事件事故の対処は既存のフィジカルな対応で行う

情報セキュリティが損なわれる【情報セキュリティ】【サイバーセキュリティ】

Copyright2020 Japan Information Security Association All rights reserved

5

www.jasa.jp

サイバーセキュリティとISMS

Identify （識別）ISO27001とほぼ同じ（情報セキュリティマネジメント）

Protect（防御）ISO27002とほぼ同じ（情報セキュリティ管理策）

Detect（検知）Respond（対処）ISO27002に含まれる

検知・インシデント判定手順確立

ISO27002に含まれるRecover（復旧）（サイバーセキュリティフレームワーク）
Copyright2020 Japan Information Security Association All rights reserved

CSIRT機能の確立サイバーレジリエンス

DR/BCP連携（ISMS）

6

www.jasa.jp

サイバーセキュリティの要点
要点１

リスク評価

◼ 人的・物的被害に着目したリスク評価
 ISO31000に基づくリスク評価を追加✓ めったに生じないが、甚大な被害が生じるリスク（想定外を想定する）

要点2

情報セキュリティ防御ができなかった場合の対策を強化◼ 検知手順・インシデント判定手順の確立◼ CSIRTの確立◼ 事業継続：物理的対処チームや復旧プロセス等との連携及びサイバーレジリエンスの確立※サイバーレジリエンス：
損害を被ったシステム部分を除いて、業務を継続する仕組みがあること
Copyright2020 Japan Information Security Association All rights reserved

7

www.jasa.jp

２.サイバーセキュリティのリスク判断
1.

情報セキュリティとサイバーセキュリティ

3.

ガバナンス・マネジメント・コントロール

4.

基本となる情報セキュリティ監査

5.

サイバーセキュリティの監査

6.

監査役の役割Copyright2020 Japan Information Security Association All rights reserved

8

www.jasa.jp

リスクとは
リスク：目的に対する不確かさの影響（ISO31000）

運輸業の目的

外的要因

安全で確実な輸送
内的要因

自然的要因

地震・台風

磁気嵐

人的要因

テロ・犯罪
身投げ

サイバー攻撃物的・技術的要因

故障・破損

システム
エラー

人的要因

ミス・不正

ミス・不正

【フィジカル】【サイバー】【リスク源】
Copyright2020 Japan Information Security Association All rights reserved

9

www.jasa.jp

情報セキュリティリスクとサイバーリスク
結果（Consequence）

運輸業の目的
安全で確実な輸送

情報セキュリティの棄損起こりやすさ（likelihood）

サイバーリスク

リスク源

情報セキュリティリスク

結果（Consequence）

不正アクセス

リスク源

事象と原因

システムエラー
CIAレベルの維持起こりやすさ（likelihood）

情報セキュリティ目的

Copyright2020 Japan Information Security Association All rights reserved

10

www.jasa.jp

サイバーリスク判断における経営の役割
シナ
リオ
ライティ
ン
グ

サイバーリスク
経営
層

管理
職層

小頻度大被害

積
み上げ型
分
析
手法

多頻度小被害情報セキュリティリスク

Copyright2020 Japan Information Security Association All rights reserved

11

www.jasa.jp

二つの活動とリスク判断
組織中枢-PDCA-

サイバー前線-OODAリスク判断

リスク判断
計画

実行

Plan

Do

対処

点検

Act

Check

組織戦略としてのリスク判断
長いサイクル（1年間など）

リス
ク
認
識の共有

観察

状況判断、方向づけ

Observe

Orient

行動

意思決定

Act

Decide

事故回避のためのリスク判断
短いサイクル（数時間～数日）

Copyright2020 Japan Information Security Association All rights reserved

12

www.jasa.jp

3. ガバナンス・マネジメント・コントロール
1.

情報セキュリティとサイバーセキュリティ

2.

サイバーセキュリティのリスク判断

4.

基本となる情報セキュリティ監査

5.

サイバーセキュリティの監査

6.

監査役の役割Copyright2020 Japan Information Security Association All rights reserved

13

www.jasa.jp

GMC◼ガバナンスG

経営が企業全体としての意思を明確にし、それを貫徹する

ガバナンス◼マネジメントMマネジメント管理職が管掌する範囲で経営の意思を反映した成果をだすようにする◼コントロールC

コントロール（管理策）

担当者が定められたことに従って行動する

Copyright2020 Japan Information Security Association All rights reserved

14

www.jasa.jp

セキュリティガバナンスの構造
情報セキュリティガバナンスのフレームワークはサイバーセキュリ
ティガバナンスにも適用できる⚫ 方向づけ（Direct)⚫ モニタリング（Monitor)⚫ 評価（Evaluate)⚫ 報告（Report)⚫ 監督（Oversee）「情報セキュリティガバナンス導入ガイダンス」
Copyright2020 Japan Information Security Association All rights reserved

15

www.jasa.jp

重要なリスクコミュニケーション
組織全体でリスク認識が共有されていると、ガバナンスが利きやすい◼リスクコミュニケーション※の意義：
組織内外の関係者が「リスク」「意思決定の根拠」「特定の活動が必要な理由」についての理解が容易になる◼リスクコミュニケーションの実施段階
リスクアセスメントのみではなく、リスク対策の実施、レビュー、記録等リスクマネジメントのあらゆるプロセスで行う
サイバーセキュリティ対策もリスクマネジメントプロセスとして行われる◼リスクコミュニケーションのねらいプロセスの各段階で組織内外の専門家の知識を集める
リスク基準を定め、リスク評価の場合に異なる見解に考慮する
リスク監視及び意思決定を行うための十分な情報を提供する
リスクの影響を受ける者たちの一体感と当事者意識を醸成する（注）ISO31000：2018に基づき加工※ ISO31000では「リスクコミュニケーション及び協議」
Copyright2020 Japan Information Security Association All rights reserved

16

www.jasa.jp

セキュリティマネジメントシステム
a. 基本方針を確立する
b. 目的を定め、計画の策定を指経営陣の責任⚫経営陣のコミットメント⚫経営資源の運用管理

情報セキュリティマネジメント

c.

d.
e.
f.

仕組の確立管理策の導入
運用監視と見直し仕組の維持と改善

g.
h.

示する
情報セキュリティに対する役割や責任を定める
情報セキュリティの重要性を組織内に周知する
必要な経営資源を提供する
リスク受容の基準、受容可能なリスクの水準を決める
内部監査の実施を指示し支援する経営者の視点からレビューを実施する（ISO/IEC27001：2005による）

Copyright2020 Japan Information Security Association All rights reserved

17

www.jasa.jp

4.基本となる情報セキュリティ監査
1.

情報セキュリティとサイバーセキュリティ

2.

サイバーセキュリティのリスク判断

3.

ガバナンス・マネジメント・コントロール

5.

サイバーセキュリティの監査

6.

監査役の役割Copyright2020 Japan Information Security Association All rights reserved

18

www.jasa.jp

監査とISMS◼監査の目的有
効性監査が必要情報セキュリティマネジメントが効果的か◼監査の方法準拠性監査◆ 組織が定めたルールに準拠しているか有効性（妥当性）監査◆ リスク管理が有効か（管理策がリスクに対して妥当か）◼ ISMS適合性評価制度の限界
 監査の方法等は経営者が決める
 ISO27006により審査工数の上限がある

Copyright2020 Japan Information Security Association All rights reserved

19

www.jasa.jp

情報セキュリティ監査のしくみ

マネジメントに対する合理的評価のしくみ
要点

解説

具体的内容

必要な人材

基準

基準を満たしているかを判断

情報セキュリティ管理基準※１（個別管理基準）証拠

客観的証拠に基づく事実認識

証拠の評価（証拠能力・証拠力）
証拠に基づくアプローチ「情報セキュリティ」と「監査」の知識を共に有する

アプロー
チ

体系化されたアプローチ

フェーズアプローチ①方針②計画③実施④意見⑤報告

専門家

評価者

独立した者

行為規範
（情報セキュリティ監査基準※２）

実証

追跡可能なプロセス

文書化：監査報告書、監査調書（情報セキュリティ監査基準※２）（公認情報セキュリティ監査人）※１：情報セキュリティ管理基準（平成28年経済産業省告示第37号）※２：情報セキュリティ監査基準（平成15年経済産業省告示第114号）Copyright2020 Japan Information Security Association All rights reserved

20

www.jasa.jp

活用すべき情報セキュリティ監査

自己流の監査公的に認められた監査•制度に基づく実施••

情報セキュリティサービ
ス基準適合サービス•

公認情報セキュリティ
監査人
情報セキュリティ内部
監査人能力認定

品質の確保•
Copyright2020 Japan Information Security Association All rights reserved

21

情報セキュリティ監査基準
情報セキュリティ管理基準

www.jasa.jp

5. サイバーセキュリティの監査
1.

情報セキュリティとサイバーセキュリティ

2.

サイバーセキュリティのリスク判断

3.

ガバナンス・マネジメント・コントロール

4.

基本となる情報セキュリティ監査

6.

監査役の役割Copyright2020 Japan Information Security Association All rights reserved

22

www.jasa.jp

サイバーセキュリティ監査の確認事項◼企業がサイバーセキュリティに的確に対応できているかの確認
リスク認識の共有：組織末端までサイバーリスクの理解が共有できているか？
組織態勢の確立：平時も異常時も円滑に全員が動けるか？
事 業 継 続 ：異常時に事業活動が途切れないか？

◼企業態勢がしっかりしているかの確認
経営者が役割を果たしているか◆ 企業存続に影響するサイバーリスクを常に見直しているか？
◆ リスク認識の共有を図っているか？
◆ 適切なガバナンスを行っているか？

管理者が適切に管理しているか◆ PDCAがしっかり回っているか？

技術者が適切に対処しているか◆ OODAによりインシデント検知が行われているか？
◆ インシデント対応態勢が動くか？

Copyright2020 Japan Information Security Association All rights reserved

23

www.jasa.jp

サイバーセキュリティ管理基準◼判断の尺度としての管理基準
情報セキュリティ管理基準+サイバーセキュリティ固有の基準◼サイバーセキュリティ対策マネジメントガイドライン
ISO/IEC27001及び27002とNIST SP800-53の差分を整理
このガイドラインをベースに個別管理基準を組織に合わせて作成できる
Ver1.0を公開済み（ https://www.jasa.jp/information/public_doc.html ）Ver2.0策定中◼ガバナンス基準
「情報セキュリティガバナンス導入ガイダンス」（経済産業省平成16年度）に基づき、以下の4つを監査
方向づけ（Direct)、モニタリング（Monitor)、評価（Evaluate)、報告（Report)

Copyright2020 Japan Information Security Association All rights reserved

24

www.jasa.jp

6. 監査役の役割
1.
2.
3.
4.
5.

情報セキュリティとサイバーセキュリティ
サイバーセキュリティのリスク判断
ガバナンス・マネジメント・コントロール
基本となる情報セキュリティ監査
サイバーセキュリティの監査

Copyright2020 Japan Information Security Association All rights reserved

25

www.jasa.jp

監査役の行うべきこと◼経営者がサイバーセキュリティに適切に対応しているかを利害関係者に説明できるようにすることサイバーリスクが常に見直されているか組織におけるサイバーセキュリティリスクコミュニケーションができているかサイバーセキュリティのガバナンスが有効か◼各現場において、サイバーセキュリティのマネジメントが的確に機能しているかを確認すること
マネジメント監査が適切に行われているか
監査人の力量（特に技術的な力量）が十分か

参考：情報セキュリティ監査人資格制度
https://www.jasa.jp/qualification/about.html

Copyright2020 Japan Information Security Association All rights reserved

26

www.jasa.jp

参考資料

Copyright2020 Japan Information Security Association All rights reserved

27

www.jasa.jp

ガバナンスとマネジメント、コントロールの意味◼ガバナンスの語源はラテン語の船を操舵する（gubernare）⇒方向を示し、導く
船を操舵するは単に舵をとるという意味ではなく、船に加え、乗組員や船荷に配慮し、暗礁や悪天候の中でも安全に目的地に着くことを意味している。

◼マネジメントの由来は「手」を意味するラテン語「manus」⇒操作して、目的を達成する
もともと何かをモノを扱うという意味である。 その名残として馬を扱う調馬場を指す言葉として「マネージュ」が国際的に使われている。

◼コントロールはラテン語の”contrarotulus“に由来する⇒管理のための目録（具体的な方法のリスト）
"Contra (～に対する)" + "Rotulus (巻物、目録、台帳）"

Copyright2020 Japan Information Security Association All rights reserved

28

www.jasa.jp28

（出典）ISMSマネジメントシステム認定センター（出典）https://www.asahi.com/articles/ASMD57WSXMD5UTIL065.html

Copyright2020 Japan Information Security Association All rights reserved

29

www.jasa.jp