:(ISC)2 Asia-Pacific 2013 受賞者講演

情報セキュリティのガバナンスと監査-情報セキュリティの透明性・説明責任を高める原田 要之助
情報セキュリティ大学院大学教授
2013年9月30日

目次
 ISLAの背景
 クラウドのリスク（情報セキュリティ）への不信
クラウ
リ ク（情報 キ リティ）不信
 情報セキュリティに関する様々な制度について
 情報セキュリティの透明性と説明責任、利用者と提供者
情報セキュリティの透明性と説明責任 利用者と提供者の認識ギャップ
 まとめ2

講師のプロフィール


職歴






教育・研修












JSSM学会、システム監査学会、電子情報通信学会、情報処理学会、経営情報学会、IEEE

出版




3

ISACA国際本部副会長（2008 2010)、ISACA東京支部元会長(2001 2003）、ISO/IEC SC27国内委員、
ISACA国際本部副会長（2008-2010)、ISACA東京支部元会長(2001～2003）、ISO/IEC
ISO/IEC WG8の国内幹事、IT Auditのeditor（2011年より）、
OPCWの情報セキュリティ監査チームリーダ（2000-2008）
日本ITガバナンス協会理事、システム監査学会理事、JADACのPマーク審査委員会委員

学会など




CISA(Certified Information Systems Auditor), CISM (Certified Information Security Manager) ,CGEIT（Certified
Enterprisep
Governance of IT))
公認情報セキュリティ主席監査人、公認情報セキュリティ主任監査人
技術士（情報数理）、情報処理技術者（特種、システム監査）、情報処理技術者試験委員

委員など




2005年より 2010年 大阪大学工学部大学院研究科 特任教授（組織のリスクマネジメント担当）
2010年 明治大学商学部兼任講師
2011年 中央大学工学部大学院兼任講師、サイバー大学兼任講師、フェリス女学院大学講師

資格




1977年～1999年 NTT通信網総合研究所
1999年～2009年
1999年
2009年 情報通信総合研究所の主席研究員
2010年4月より 情報セキュリティ大学院大学教授



ITリスク学（共立出版），2012
リスク社会で勝ち抜くためのリスクマネジメント
リク社会 勝 抜リ ク
JRMS2010(JIPDEC)
(
)，
，2010
CobiT実践ガイドブック（日経BP），2008
経営革新と情報セキュリティ（日科技連），2011

ISLAの背景

4

ISLAの背景
 監査関係ISACA東京支部（2001-2002）会長 CISAの増加に取組む
 ISACA国際の活動
 1997年

2000年問題の研究会→米国の2000年問題
 2006-2008年 情報セキュリティマネジメント委員会
 2008-2010年
2008 2010年 国際本部副会長
 2008-2011年 ISO/IECSC27のISACA代表


OPCW（化学兵器禁止機関）
 OPCWの情報セキュリティ監査チームリーダ

ISO/IEC WG8
 ISO/IEC TR30120

IT AuditのEditor 日本セキュリティ監査協会の資格制度立ち上げと認定
5

10年で1,200名

ISLAの背景
 ガバナンス関係


ISACA国際の活動
 ガバナンスの啓発と普及
 2006年
年

情報セキュリティガバナンスガイド
情報セキ
リテ ガバナン ガイド
 2009年 COBIT5に向けた戦略検討
 ITガバナンス
ガ ナン
 2008年



VAL-ITフレームワーク

ISO/IEC WG6 ITガバナンス委員

 情報セキュリティガバナンス制度（2011まで）

情報セキュリティガバナンスガイドブック
 IT-BCP ISO/IEC27014、JIS Q.27014の標準化6クラウドのリスク（情報セキュリティ）への不信

7

クラウド事業者の事故リスクは本当にマネ ジされているのか
リスクは本当にマネージされているのか Twitterの不正アクセスによる情報漏洩 、2009年7月
 Google （非公開のドキュメントが共有）、2009年3月
 Danger（Microsoft傘下）
g （傘 ）デ タ消失、
データ消失、2009年10月
年 月
 Dropbox （パスワードなしで共有）、 2011年6月
 salesforce.com（パフォsalesforce com（パフォーマンス問題）
マンス問題） 、 2012年7月
 富士通、館林データセンターが電源障害、 2012年7月
 AmazonA
EC2、
EC2 電源断によるサービス停止、2012年6月
電源断によるサ ビス停止 2012年6月
 （FSのバックアップ削除と情報漏えい問題、2012年6月）
 EvernoteのIDとパスワードの漏えい問題、2013年3月とパド 漏え 問題年 月→クラウドに対する認証、監査は？？？
8

クラウドサービスに対するユーザの意識の現状
クラウド利用による運用コスト減などのメリットが注目される一方で、セキュリティへの懸念は未だに残っている。
自組織管理下とクラウドのセキュリティ上の脅威の比較

2010年度年度
N=311

9

2012年度
年度
N=328

クラウドサービスと第三者認証制度

クラウド事業者を選定する材料として「ISMS認証」、「Pマーク認証」取得を求めているユーザが多い
認証取得事業者（FS社）
認証取得事業者
で事故発生
事故発生

クラウドサービスと第三者認証制度との検討が必要
10

ENISAのリスク評価と日本2010年調査を振り返って②
技術的リスク①
リスクリ
クアンケート結果ENISA

RESOURCE EXHAUSTION

事業者のリソース（サーバのCPU能力やストレージの容量）が不足して、その影響を受ける（処理速度が遅い、ファイルが保存できないなど）リスク

MediumISOLATION FAILURE

リソースを共用する他の利用者の影響で自組織のサ ビス品質が低下するリスク
サービス品質が低下するリスク

High

CLOUD PROVIDER MALICIOUS INSIDER - ABUSE
OF HIGH PRIVILEGE ROLES

事業者の内部者によるセキュリティ違反（不正アクセスなど）で自組織の機密情報が見られその事実が分からないリスクHigh

MANAGEMENT INTERFACE COMPROMISE

事業者が意図的に、自組織の機密情報を盗み見す
るリスク

Medium・FS事で件は、セキュリティ違反は強く感じていた通りの事件
FS事で件は セキ リテ 違反は強く感じていた通りの事件
11
出所：原田、クラウドコンピューティングのリスクとガバナンスに関する調査・研究について、情報処理 Vol.51 No.12 Dec. 2010

ENISAのリスク評価と日本2010年調査を振り返って③
技術的リスク②
アンケート結果
アンケ
ト結果
リスク
INTERCEPTING DATA IN TRANSITDATA LEAKAGE ON UP/DOWNLOAD, INTRA
INTRACLOUDENISAMedium事業者へのデータ転送に伴い、機密情報が漏えいするリスク
INSECURE OR INEFFECTIVE DELETION OF DATA

事業者が不要になったデータを消去しないリスク

Medium

DISTRIBUTED DENIAL OF SERVICE (DDOS)

事業者へのDDoS攻撃でサービスが中断したり品質事業者へのDDoS攻撃でサビスが中断したり品質低下するリスクM diMediumECONOMIC DENIAL OF SERVICE (EDOS)

事業者を利用して提供している自組織のWebサービ
事業者を利用して提供している自組織のWebサ
ビスなどへのDDoS攻撃を受けて、増えたアクセスに対する使用料を事業者に請求されるリスク

Medium・FS事件では、バックアップを戻した後、機密情FS事件では、 ックアップを戻した後、機密情報が漏えい事件が起きた
12
出所：原田、クラウドコンピューティングのリスクとガバナンスに関する調査・研究について、情報処理 Vol.51 No.12 Dec. 2010

ENISAのリスク評価と日本2010年調査を振り返って④
技術的リスク③
アンケート結果
アンケ
ト結果
リスク

ENISA

LOSS OF ENCRYPTION KEYS

事業者が暗号かぎを紛失して復号できなくなるリス
クMediumUNDERTAKING MALICIOUS PROBES OR SCANS

事業者が自組織にスキャン（空いているポートを探すなど）するリスク

MediumCOMPROMISE SERVICE ENGINE

事業者の提供するサービスに欠陥や問題があるリ
スクク

Medium

CONFLICTS BETWEEN CUSTOMER HARDENING
PROCEDURES AND CLOUD ENVIRONMENT

事業者の提供するセキュリティ水準が低いため、結事業者の提供するセキュリティ水準が低いため
結果として自組織のセキュリティが低くなるリスク

Low

・FS事件では、事業者のセキュリティ水準の問題
FS事件では、事業者のセキ リティ水準の問題
点を気付かせてくれた
13
出所：原田、クラウドコンピューティングのリスクとガバナンスに関する調査・研究について、情報処理 Vol.51 No.12 Dec. 2010

ENISAのリスク評価と日本2010年調査を振り返って⑤
共通事項
アンケート結果
アンケ
ト結果
リスク

ENISA

SOCIAL ENGINEERING ATTACKS

事業者がソ シャルエンジニアリング攻撃を受けて、事業者がソーシャルエンジニアリング攻撃を受けて自組織に関する情報を開示するリスク

MediumLOSS OR COMPROMISE OF OPERATIONAL LOGS

自組織サービスが取得しているログを紛失したり、紛失、漏えいさせるリスク

Low

LOSS OR COMPROMISE OF SECURITY LOGS

事業者が認証などのセキュリティログを紛失したり、漏え させるリ ク
漏えいさせるリスク

Low

BACKUPS LOST, STOLEN

事業者がバックアップファイルを毀損させたり、漏えいさせるリスクMedium・FS事件では、事業者のバックアップの問題点をFS事件では、事業者の ックアップの問題点を気付かせてくれた14
出所：原田、クラウドコンピューティングのリスクとガバナンスに関する調査・研究について、情報処理 Vol.51 No.12 Dec. 2010

クラウドのリスクを振り返って さまざまなリスク（ENISA)は現実化してきている
 組織的なリスク
 法的なリスク 技術的なリスク
 共通のリスク

 リスクは減るよりもますます増えている↓
 リスクを減らして、安全にクラウドを利用 ガバナンスの問題
 認証、監査、保証サービスがより重要に

15

ISMS認証機関の対応

2012年
0 年

6月 0日
6月20日
6月27日
7月31日

（ S社事故発生）（FS社事故発生）
事実関係の調査を行う旨を公表（FS社が第三者委員会調査報告書を
公開）

8月16日

調査の結果、「マネジメントシステムへの不適合」を理由にISMS認証を一時停止⇒ 同20日公表

10月12日 臨時審査の結果、ISMS認証一時停止を解除 ⇒同日公表
一連の措置・情報公開(※)が行われている(※) 認証機関ウェブサイトにて
16/
http://www.bsigroup.jp/assessmentandcertification/managementsystem/newsISMS認証制度の限界(ii)管理策の問題、(iii)データ復旧手順の不備
バックアップ、復旧手順ともにISMS（JIS Q 27001）の要求 事項に規定されているが、「組織が特定した情報資産に対するリ
スク評価とそれを低減する管理策の有効性を審査員が判断」
全ての管理策の実施や内容のレベルを保証しているわけではない

適用宣言書は原則として非公開⇒ユーザが管理策実施の有無と内容を判断することは困難

ISMS認証取得を事業者の安全性の判断として利用するには限界がある
17 出所：佐藤・原田、クラウドサービスにおける第三者認証制度の考察、情報処理学会研究報告 Vol.2013EIP-59 No.1 Feb. 2013

Pマーク認証機関の対応
2012年11月20日に公表された審議結果
ISMSとは対照的に、対応に関する情報公開が遅れていた。
■Pマークの要求事項(JIS Q 15001)における、個人情報保護マネジメントシ
ステムの適用範囲→事業の用に供する個人情報■「事業の用」に供しない例（経産省ガイドライン）→倉庫業 データセンター（ハウジング→倉庫業、デタセンタ （ハウジング、ホスティング）等の事業において、ホスティング）等の事業において当該情報が個人情報に該当するかどうかを認識することなく預かっている
場合に、その情報中に含まれる個人情報⇒レンタルサーバ内の情報はFS社にとって個人情報に該当しないため、個人情報
タ サ バ内 情報は 社 と個人情報 該当 な ため 個人情報の滅失事故とは言い切れない。措置なしと判断→クラウドサービスを利用するPマークの認証企業に問題点を周知■利用者から個人情報などの重要な情報の修復を依頼されて、データのリカバリを実施したところ、複数の企業の情報が混ざった形で提供することになった。
個人情報の漏えい事件と認定、ただし、直ちにリカバリを停止し、消去を依頼した→個人情報の漏えい事件と認定、ただし、直ちにリカバリを停止し、消去を依頼した
ため、漏えい範囲は限定的と判断して同様の事故との比較から、注意措置と判断
18 出所：佐藤・原田、クラウドサービスにおける第三者認証制度の考察、情報処理学会研究報告 Vol.2013EIP-59 No.1 Feb. 2013

ＦＳ社の事故におけるISMS・Pマークの問題
事故に対する説明、（限定的な）損害賠償の支払い、再発防止策の実施がされたが、再発防止策の実施がされたが一方で下記の問題点が明らかになった。
(i)組織のマネジメントシステムの問題
組織
ネジ(ii)管理策の内容の問題(iii)データ復旧手順の不備⇒ISMSやPマーク認証を取得しているのであれば、これらを防止する体制の構築を期待されているはず
ISMSやPマークの制度設計（事後の対応や審査基準等）に問題はないか？
19 出所：佐藤・原田、クラウドサービスにおける第三者認証制度の考察、情報処理学会研究報告 Vol.2013EIP-59 No.1 Feb. 2013

ISMS・Pマーク認証制度と事件への対応
ISMS・Pマ ク認証制度の限界
ISMS・Pマーク認証制度の限界■製造物製品（例：ISO９００1等）
マネジメントシステムのみならず、製品の種類ごとに法令や業界基準等により定められている品質基準を遵守する必要有■情報システム
データと処理する作業が特定されないと対策レベルの具体的一般化が困難。製造物製品と違い、遵守すべき水準が存在する
分野は限られている。
⇒例えばIaaSの場合、ユーザが保存しているデータを事業者は認知しない。
ISMS・Pマーク認証制度の限界

20 出所：佐藤・原田、クラウドサービスにおける第三者認証制度の考察、情報処理学会研究報告 Vol.2013EIP-59 No.1 Feb. 2013

情報セキュリティに関する様々な制度

21

日本（経産省）：
情報セキュリティガバナンス制度
 情報セキュリティベンチマーク制度(2005)
 情報セキュリティ報告書制度(2005)
 ISMS 認証制度(2000)
認証制度()
 情報セキュリティ監査制度(2003)

利用者合意方式(2008)
 社会的合意方式(2008) 情報セキュリティ格付け制度(2009)
 その他

BCP

事業継続計画(2005、2012年改訂)
事業継続計画(20052012年改訂)
 ITサービス継続計画(2008制定、2011年改訂)


22

ISMSの歴史

ISMS登録事業者数の推移
 13年8月末時点で、4359事業所（11年8月3901）

出所：http://www.isms.jipdec.jp/lst/ind/suii.html

情報セキュリティ報告書
 各社が自社の情報セキュリティについてステークホルダに報告する（CSR報告書のアナロジー）

25

「監査(audit)」とは?
 「監査(audit)」とは、
 ある目的のために組織体の行為を、独立の立場にある

第三者が検証・評価することで、その真実性や妥当性などを確認し、その結果を関係者に報告すること。これにより、なんらかの説明責任を果たし、一定の信頼を付与する機能や行為。
する機能や行為 何らかの責任追跡（accountability）を果たす機能や行為
 「自己証明は監査にあらず」 認証は、要求条件全てについて条件を満足することが必要となるので、監査とは異なる
26

出所：JASA平成17年度保証型監査促進プロジェクト 中間報告書

監査における三者関係

想定利用者
利用者





監査
報告書

セキュリティ
報告書など

結論(conclusion)

説明責任(accountability)

情報セキュリティ管理体制

対象事項(Subject matter)
保証実施者(Practitioner)

監査人

27



説明責任当事者（経営者）(Accountable party : management)

客観的な
規準

出所：JASA公認情報セキュリティ監査人研修教科書

監査対象
1

「保証」の概念
「合理的保証(reasonable assurance)」とは
 「保証型監査の監査人が情報セキュリティ監査基準に従って監査を実施した結「保証型監査の監査人が情報セキ リティ監査基準に従 て監査を実施した結果、言明と監査人が把握した事実との間に相違がないことについて、相当程度の心証を得たとの専門家としての判断を結論として述べること」



保証型監査における保証業務の定義
 「監査対象の経営者が発した言明に対し、監査人が合理的な方法と証拠に基
対象 経営者 発
言明 対 、合な方法 証拠づき、監査の対象となる組織体の情報セキュリティに関するマネジメントとコントロールが監査手続きを実施した限りにおいて適切である旨（または不適切である旨）の意見を述べること」



保証型監査における保証程度の度合い
 保証型監査においては、「合理的保証」のみが存在しうると考える。ここでいう保証型監査においては 「合理的保証」のみが存在しうると考える ここでいう合理的とは、経済的合理性、技術的合理性、社会的合理性などを意味する。

28

出典：JASA平成17年度保証型監査促進プロジェクト 中間報告書

保証型監査の例（JASAの保証型監査モデル）
県民/取引先報告書利用者

被監査部門

言明書
二次利用者

社会的に
合意され
た基準
監査部門
外部監査企業
十分な
監査
手続
続

29

出所：JASA公認情報セキュリティ監査人研修教科書

監査報告書

保証型監査の方式
社会的合意方式
監査手続の
十分性の担
保

利用者合意方式

被監査主体合意方式

実施する監
査手続

社会的に合意された基準に照 監査目的に照らした監査手続らして十分な監査手続であると のの十分性について利用者の合意
監査人の判断が存在
監査人が必要と考える手続
1次利用者と合意した、期待に応えられる監査手続

被監査主体と合意し利用者の確認を得た監査手続

保証の内容

設計監査または実装監査

設計監査または実装監査

実装監査

保証の方法

意見表明方式

意見表明方式

結果報告方式

保証の対象

言明方式

言明方式

非言明方式

保証の対象
とする期間

時点監査（期間監査も条件を満たせば可能）時点監査（期間監査も条件を満たせば可能）時点監査または期間監査

監査の対象
範囲

監査の主題にかかわる重要部 監査の主題にかかわる重要部
分を欠いていないこと
分を欠いていないこと

被監査主体と合意し利用者の確認を得た部分

監査報告書
の利用者

不特定

特定された１次利用者に限定特定された１次利用者に限定

報告書記載

信じるに足る

期待する水準にある結果を報告する

適用可能な
具体例

委託先の監査結果を広く利害関係者に公表したい場合

報告書利用者である委託者が 受託者として求められる事項の委託先に期待する水準が明確 遵守について保証を得たい場な場合で、委託先がその期待に 合応えていることについて保証を
得たい場合

30

出所：JASA公認情報セキュリティ監査人研修教科書

監査目的に応じた手続として監査主体と被監査主体が合意し１次利用者の確認がある

監査法人による保証サービス（統制、セキュリティ）目的により3形態

セキュリティ、可用性、完全性、機密保持、プライバ
シに関する内部統制の保証を追加できる
出所：吉川・市川、受託会社の内部統制に関する保証報告制度、あずさ監査法人(KPMG)
31
AZ Insight, Vol. 47, 2011年9月号

SOCのロゴの利用

クラウドサービス事業者のクラウドサ
ビス事業者の認証・保証制度33

情報セキュリティ監査の適用

34

出所：クラウドサービス利用のための情報セキュリティマネジメントガイドライン

35

出所：クラウドサービス利用のための情報セキュリティマネジメントガイドライン

CSA クラウド·プロバイダーの認証スキーム

CSAのセキュリティガイダンスとコントロール目標を利用
 認証機関や公認会計士による、独立した第三者評価・保証を組み合わせている ４レベルで構成


１. Self Assessment （自己評価）（自 評価）


２.. Third-party independent assessment （第三者評価）


ISO/IEC 27001:2005
27001 2005 評価基準をCSA Cloud
Cl d C
Controls
t l Matrix
M t i (CCM)と組
み合わせ、認証機関による評価

3.. Attestation （保証）

CSA STAR RegistryにCSAのガイドラインへの準拠状況を表明

監査法人による保証を組み合わせた４．Continuous monitoring-based certification（継続評価）
36るCSAのSTAR STAR Self-Assessment（自己評価）
 STAR Certification （認証機関による認証）
 STAR Attestation （保証機関による保証）
（保証機関
る保証）
 STAR Continuous （継続性の保証）

37

38

出所：https://cloudsecurityalliance.org/star/certification/

STAR の自己評価の仕組み
 クラウド·プロバイダがセキュリティの最小限の透明性を確保

CSAがクラウドの情報セキュリティのガイドラインを提示（CCM) プロバイダは、情報セキュリティマネジメントに合わせてCCMによる情報セキュリティマネジメントシステムを構築し そのエビデンスを
情報セキュリティマネジメントシステムを構築し、そのエビデンスを公開する エンドユーザーは、公開情報をもとにプロバイダを比較評価できる
 The Consensus Assessments Initiative Questionnaire (CAIQ)39

CAIQは、クラウドサービスで実施しているセキュリティコントロール
を文書化するための業界標準。140の監査人や利用者が行うコンセ
ンサスアセスメントイニシアティブアンケートから構成

MicrosoftのSTAR対応の情報公開

MSは、CSAのCCM（自主点検）
ISO/IEC27001:2005（認証）40

CCMとISMSの付属書Aの管理策を並べて準拠性を説明
CCM での
項番

説明(CCM バージョン R1.1. 最終版)

IS-12
情報セキュリティ 業界の知識/
ベンチマークネットワーク、専門家によるセキュ
リティに関するフォーラム、プロフェッショナルとの連携を通じて、業界のセキュリティに関する知識とベンチマークを維持する必要が
あります。

IS-13
情報セキュリティ 役割/責任

契約業者、従業員、およびサ契約業者
従業員 およびサード
ドパーティのユーザーの、情報資産やセキュリティに関連する役割と責任について文書化する必要があります。

マイクロソフトの対応

マイクロソフトは複数の業界組織のメンバーであり、各種のイベントや組織に参加したり、講演者を提供したりしています。また、マイクロソフトは社内でさまざまなトレーニングを実施しています。
ISO 27001 規格 (具体的には付属文書 A の項 6.1.7) で、"特別利益団
体との連絡" が規定されています。詳細については、マイクロソフトが認定を取得し 公開され定を取得し、公開されている
る ISO 規格を確認することをお勧めします。
規格を確認する とをお勧めします
Windows Azure のスタッフや契約業者のスタッフに対して、情報資産やセキュリティに関連する役割と責任を含む、明確で簡潔な情報
セキュリティ ポリシーの最新情報を提供するために、情報セキュ
リティ ポリシーが存在します。これらのポリシーは、Windows
Azure の適切な保護のための指針を与えるものです。情報セキュリ
ポはAzure の Information Security
ティ ポリシーは、Windows
Management System (ISMS) を構成するコンポーネントの 1 つとして作成されました。このポリシーは、Windows Azure の管理者によって確認、承認、推奨されています。
ISO 27001 規格 (具体的には付属文書 A の項 8.1) で、"契約業者、従業員、およびサード パーティのユーザーの役割と責任" が規定されています。詳細については、マイクロソフトが認定を取得し、公開ます 詳細が認定を 得開されている ISO 規格を確認することをお勧めします。

IS-14
情報セキュリティ 管理者による監督

各管理者によって承認されたバージョンの情報セキュリティ ポリシー、およびそれ以降のすべての更新情報が、該当するすべての関係者に対して配布されます。情報セキュリティ ポリシーは、新規および既存のスタッ
フ全員が確認できるようになっています。Windows Azure のスタッフは全員、このポリシー文書内のすべてのポリシーを確認し、それに従うことに同意した旨を表明します。Windows Azure の契約業者のスタッフは全
管理者は、自らの責任範囲に該当
員、このポリシー内の関連するポリシーに従うことに同意します。これらするセキュリティのポリシー、手順、の関係者のいずれかが何らかの理由でこのポリシーにアクセスできない
規格に関して、その意識を維持し、場合は、マイクロソフトの管理担当者がこのポリシーをその関係者に配それに準拠する責任を負います。
布する責任を負います。
ISO 27001 規格 (具体的には第 5 節および付属文書 A の項 6.1) で、"情報セキュリティとその責任に関する管理者の責任、および管理者のコ
ミットメント" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。

41

STARのセルフアセスメント（自己評価）
Amazonのセルフアセスメ
ントをクリックするとAmazonのページに移動

CSAのSTARのページに掲示されているAmazon
掲示されているAの状況（セルフアセスメン
ト）にリンクする
42

STAR認証取得のメリット
 国際規格（ISO/IEC 27001）とクラウドセキュリティに関するマネジメントシステム（CSAによるCCM)を構築できる
外部の認証機関から評価によって、クラウドサービスの成熟度のレベルやパ度のレベルやパフォーマンスをチェックできる
ンスをチ クできる ４つの段階となっているので、目標を定めやすい 認証機関が、マネジメントスステムの有効性について評
認証機関がネジメントスステムの有効性に いて評価する（BSIがISMSとCCMを組み合わせて認証）
サービスプロバイダがクラウドサービスを提供する上で、何をサ
ビスプロバイダがクラウドサ ビスを提供する上で 何を実践すべきかについて知る
 利用者も自社の情報セキュリティマネジメントの状況（ISMSなど）に遭わせることができる
 認証と保証を組み合わせた点が新しい
43

情報セキュリティの透明性と説明責任、利用者と提供者の認識ギャップ

44

説明責任
 経営陣の関与、情報セキュリティ対策、利用している基準、および自社の情報セキュリティの達成レベルを
 経営陣の関与では、責任の明確化がポイント

外部基準か、公開された基準でない限り、説明責任は果たせない。なお、外部基準を利用している場合は、どの基準の項
目の具体的な開示が必要である。
目の具体的な開示が必要である

 第三者による客観性が求められる

自社の情報セキュリティについて、客観的に説明できるように
自社の情報セキ
リテ に いて 客観的に説明できるようにすることが求められ、そのためには評価がなされていることが必要。これを担保するものとして、保証が求められる。
 情報セキュリティの監査などがある。


45 出所：佐藤・原田、クラウドサービスにおける第三者認証制度の考察、情報処理学会研究報告 Vol.2013EIP-59 No.1 Feb. 2013

透明性
 企業が公表する情報セキュリティの内容について、透明性を持つことが重要である


情報セキュリティ対策が、適切性、網羅性、完全性を持つこと

 透明性には、公表した情報セキュリティ対策について、以下が求められるが客観的であること
 検証可能性があること（評価できること）
 他と比較できること46

日本の情報セキュリティガバナンス
の制度比較

47

出典：情報セキュリティガバナンスと説明責任,InfoCom Review Vol.49 (2009)より

期待ギャップを考慮した認証制度の評価
評価モデル
・制度の認知や普及度
・何を対象として、どの程度の水準か
・事故発生時に説明責任を果たすか

矢印から離れるほど期待ギャップが大きい状態

ユーザ側の責任は・事業者選定理由の説明として
使えるか
…etc
…etc.

その分野において最低限満たす
べきと考えられるレベルを
ベースラインに設定

認証制度 、認証制度は、
ユーザの認識・期待に対し、それをどの程度満たすものか？（説明可能か）
48 出所：佐藤・原田、クラウドサービスにおける第三者認証制度の考察、情報処理学会研究報告 Vol.2013EIP-59 No.1 Feb. 2013

期待ギャップを考慮した認証制度の評価
評価モデルの適用と考察②認識・期待過剰・ISMS等「適用宣言書」等が公開されていないので どのレベルていないので、どのレベルにあるのかがわからない
状態⇒情報公開制度などにより情報公開制度なより補う必要がある

？？

・Pマーク
Pマ ク
保証の範囲となる「事業の用に供する個人情報」についてユーザの認識が違っている

49 出所：佐藤・原田、クラウドサービスにおける第三者認証制度の考察、情報処理学会研究報告 Vol.2013EIP-59 No.1 Feb. 2013

期待ギャップを考慮した認証制度の評価
評価モデルの適用と考察③認識・期待不足
・認証取得にかかるコストに見合ったインセンティブが得られない⇒政府主導によりインセンティブを与える⇒範囲を限定することによりコストを下げる
トを下げる
・PCI DSS：分野を限定
・ITSMS：サービスレベルを明確に定義 等

50 出所：佐藤・原田、クラウドサービスにおける第三者認証制度の考察、情報処理学会研究報告 Vol.2013EIP-59 No.1 Feb. 2013

まとめ

51

 クラウドのリスクはまだまだ十分でないと考えられ、そのためには、プロバイダのガバナンスが重要となる。
プロバイダには、情報セキュリティ対策面でのより説明責任が要請され 高い透明性が必要要請され、高い透明性が必要
 透明性としては、プロバイダと利用者との認識ギャップを埋める工夫が必要 STARの４つの段階は参考になる

自己点検と情報公開
 認証
 監査、保証監査 保証
 継続させる工夫 ガバナンスや監査は重要52

ご清聴ありがとうございました

53