クラウドセキュリティの始め方
ISMS/ISMSクラウドセキュリティ
受審報告

大学等におけるクラウドサービス利用シンポジウム2019

2019/02/22

1

本日お話させていただくこじつけ

広島大学のISMSが生まれ変わりました。

ISMSはISMSクラウドセキュリティの前提です。

クラウドセキュリティを考えてみましょう。

2019/02/22

大学等におけるクラウドサービス利用シンポジウム20192本日お話させていただくこじつけ

広島大学のISMSが生まれ変わりました。

ISMSはISMSクラウドセキュリティの前提です。

クラウドセキュリティを考えてみましょう。

2019/02/22

大学等におけるクラウドサービス利用シンポジウム20193本日お話させていただくこじつけ

広島大学のISMSが生まれ変わりました。

ISMSはISMSクラウドセキュリティの前提です。

クラウドセキュリティを考えてみましょう。

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

4

ISMSとは個人情報をきちんと守っていることを内外にアピールするもの

ISMSクラウドセキュリティとは十分なセキュリティで、クラウドサービスを利用／提供していることを内外にアピールするもの

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

5ISMS/ISMS-CLS認証取得の表示

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

6

ISMS認証取得までの流れ○○しなければならない。○○することが望ましい。

国際規格

ISMS文書証跡

ISO27001

ISMSマニュアル

ログ、記録ISO27017

ISMS基本方針…

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

7

ISMS認証取得までの流れ○○に対して、私たちはこうやって実施します。

国際規格

ISMS文書証跡

ISO27001

ISMSマニュアル

ログ、記録ISO27017

ISMS基本方針…

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

8

ISMS認証取得までの流れ

その証拠が△△です。認証機関さん、見てください。

国際規格

ISMS文書証跡

ISO27001

ISMSマニュアル

ログ、記録

ISO27017

ISMS基本方針…

2019/02/22

大学等におけるクラウドサービス利用シンポジウム20199よくある失敗例

セキュリティを高めるためにISMSをやっているのに、ISMSの活動が重すぎて、本来やるべきセキュリティを守る活動ができない

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

10

（2017年度内部監査）当時の会話

証跡がない

実績が空欄

2019/02/22

毎年同じ

理解不足

ダメ過ぎる

大学等におけるクラウドサービス利用シンポジウム2019

11

ISMSを取り巻く当時の状況

なんて読むの？

手間やめればいい 暗い 崩壊

内部監査 一部の人たちだけのもの事務局なにもしてない

セキュリティ
謎

クラウド認証聞けない

勝手にやってる怒られる

2019/02/22

CIO

季節労働

時代遅れ

コスト増加 イライラする

意味が分からない

めんどくさい関わりたくない

こわい

大学等におけるクラウドサービス利用シンポジウム2019

12

原因

業務の根拠＝規則 ＝ISMS文書• ISMSマニュアル• ISMS基本方針• ISMS適用宣言書• ISMS管理策手順書 など

ISMS文書に何が書いてあるか分からない根拠が揺らいでいる！
2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

13

ISMS文書の見直し

改善内容の一例• ISMSマニュアル• ISMS適用宣言書 ／ ISMS管理策手順書• リスクアセスメント手法

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

14

ISMSマニュアル（Before）• 規格の文言がほぼそのまま書かれただけ• 言葉が難しく、到底理解できない
2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

15

ISMSマニュアル（After）• 本学の解釈を追加• 関連文書の保存場所を記載

ISMSのために何をするのかが明確になった

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

16

ISMS管理策手順書（Before）
••
•

•

•
•

2019/02/22

何のために誰が何をすればいいのかわからない
項目によって文章量がバラバラ
IMC、情報部のいずれかしか該当しないことも書かれている証跡場所が書かれていたりいなかったりする
リンクだらけ
多すぎて読む気にならない

大学等におけるクラウドサービス利用シンポジウム2019

17

ISMS管理策手順書（After）• 列ごとに、目的、管理策、証跡場所を記載• 全体の文章量を統一
62ページあった手順書が11ページになった
2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

18

ISMS管理策手順書（After）
全学共通編（ISMS適用宣言書）

部局編（ISMS運用手順書）• IMC、情報部の共通部分は全学共通編として、独自部分は部局編として別の文書に他部署にも展開できる文書構成となった
2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

19

ISMS管理策手順書（After）• 管理策手順と本学の規則との対応関係を整理（紫字＝本学の規則に従う項目）
ISMSとして実施することが何か明確になった
2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

20

ISMS管理策手順書（After）• ISMSスタッフが、どんなタイミングで、何をしなければならないのか、列を追加
これを見れば分かる、文書がようやくできた
2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

21

ISMS管理策手順書（After）
全学共通編（ISMS適用宣言書）
部局編（ISMS運用手順書）

定期実施確認表

2019/02/22• 定期的に確認する項目
は確認表に実績を記載

文書の構造が確立した大学等におけるクラウドサービス利用シンポジウム2019

22リスクアセスメント手法（Before）• リスク値の計算が複雑• 繰り返し実施できない

2019/02/22

大学等におけるクラウドサービス利用シンポジウム201923リスクアセスメント手法（After）• リスク値の計算を簡素化（脅威の要因×影響度＝最大8）• 現対策を「抑止」「検知」「回復」の３つに分類し、それぞれ４段階で評価具体的に文章化し、判断基準を明確にした
2019/02/22

大学等におけるクラウドサービス利用シンポジウム201924文書見直しの結果

業務の根拠＝規則 ＝ISMS文書• ISMSマニュアル• ISMS基本方針• ISMS適用宣言書• ISMS管理策手順書 など

ISMS文書が整備された根拠が明確になった
2019/02/22

大学等におけるクラウドサービス利用シンポジウム201925

文書見直しの結果

Before

道がガタガタすぎて、とても安心して話し合いできる状況じゃなかった

After

道が平らになったことで、お互いのことを考えられるようになった
2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

26

ISMSを取り巻く今後の状況

ミニミニ通信ISMSスタッフ
PDCA

ガッキーと一緒

安心 事務局会議 日本一

セキュリティ 証跡
自信

リスクアセスメント
クラウド認証ISMSちゃん
勉強になる

2019/02/22

奥が深い

実感が湧いてきた

新垣結衣

やっててよかった
大学等におけるクラウドサービス利用シンポジウム2019

かわいい27ISMSスタッフへの教育

ISMSスタッフ説明会
ISMSミニミニ通信

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

28

ISMSスタッフ説明会

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

29

ISMSスタッフ説明会

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

30

ISMSスタッフ説明会

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

31

ISMSスタッフ説明会

2019/02/22

大学等におけるクラウドサービス利用シンポジウム2019

32

ISMSミニミニ通信
毎月１回以上の発行（必須：確認テストの実施）

結婚式風2019/02/22

センター試験風

格付けチェック風大学等におけるクラウドサービス利用シンポジウム2019

33

ISMSは…

広島大学のISMSが生まれ変わりました。

ISMSはISMSクラウドセキュリティの前提です。

クラウドセキュリティを考えてみましょう。

2019/02/22

大学等におけるクラウドサービス利用シンポジウム201934期間限定無料コンサルティング
広島大学財務・総務室情報部情報化推進グループ
主任（ISMS事務局員）谷 友博

tani17[AT]hiroshima-u.ac.jp

ありがとうございました。
2019/02/22

大学等におけるクラウドサービス利用シンポジウム201935