［特集2］

外部からのアタック対策だけではないセキュリティー

組織内

ネットワークの情 報 管 理 術
情報漏洩

98 +++ iNTERNET magazine 2003.09 +++個人情報管理セカンドステージのインターネットでは、ネットワークを外部から守るセキュリティー対策はすでに当然のものだ。今意識しなければいけないのは、内部犯行による情報漏洩対策などを含めた組織内の情報管理だ。
莫大な損害賠償や株価下落による企業価値の低下などの深刻なダメージを引き起こしかねない情報漏洩などの問題の現状とその対策を解説する。

Text：JNSA／不正プログラム調査WG 渡部章（P99〜100）＋株式会社ラック 新井悠（P101〜107）＋中村正則（P108〜109）
協力：日本ネットワークセキュリティ協会

内部犯行

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

企業の情報資産は外部から守るだけでは済まない

あなたの会社は本当に大丈夫？

現実のセキュリティー問題となった内部犯行
内部犯罪はもはや無視できない現実である■表1 個人情報の漏洩が問題となった事例
エステティックサロンのサイトにアクセスして資料請求やアンケートに回答した人の個人情報約3万8千件が閲覧可
能な状態になっていた「サーカム」ウイルスに感染したコンピュータから顧客情報が流出した。
（平成13年7月）

2003年6月26日、コンビニ大手ローソ
ンのダイレクトメール発送受託企業から約

化粧品会社がネット上のサイトで管理していた顧客リストが不特定多数から閲覧できる状態になり、約1万人分のリ56万件の会員情報が社外に流出したこと

オンライン通販会社が、ホームページが使用しているコンピュータに顧客情報を保管していたため、数万件の顧客情が明らかとなった。個人情報の漏洩事件

報リストが漏洩し、ネット上に流れた。

が後を絶たない。その多くは人為的な設定ミスや管理ミスであるが、近年、会社や公共団体での内部犯行による情報漏洩が問題になってきている（表1）。人為的なミストが漏洩した。
（平成13年7月）

商品キャンペーンの電子メールリストの登録者約3万3千人に誤ってコンピュータウイルスを添付した電子メールを配信した。
（平成13年5月）
電話会社の職員がコンピュータ端末を不正に操作して電話加入者の情報を光磁気ディスクに記録し、イベント企画
業者に渡して謝礼を受け取った。
（平成12年9月）
京都府宇治市のシステム作りに携わった会社のアルバイト社員が、住民基本台帳のデータ約21万件分を不正に入手して売却した。
（平成12年5月）
出典：警視庁サイバーポリス発表資料より

スや犯罪行為による情報漏洩は、ちょっとした不注意で誰でも当事者となる可能性がある。昨今の事件を他人事と考えず、こ■グラフ1 不正アクセスなどのアクセス元

れを機会に、普段の自分の情報の扱いは70

もちろん、会社全体で注意して対策をして

60

57.9％

N=159 平成15年度
50.4％

いくようにしなければならない。
JNSAの調査報告（参考2、100ページ

41.5％ 40.7％

参照）によると2002年の情報漏洩事件は40

新聞などに報道されてわかっているものだ30

けでも63件にものぼり、41万8716人の20

個人情報が漏洩したという。その多くはシステムの設定ミスなど管理ミスが原因でウェブから漏洩したものだが、中には情報の持ち出しなど内部犯罪が原因であるも

N=236 平成13年度

50

28.9％
25.4％

9.4％ 8.1％

101.9％ 1.7％

0.8％ 0.8％
0社外（学外）
国内から社外（学外）
国外から

社内（学内）
から

その他

不明

無回答

出典：警視庁、平成15年度不正アクセス行為対策の実態調査のが4件あり、1万9183人（人数不明を含
まず）もの個人情報が内部から漏洩している。内部犯行はとかく隠されがちであり、クセス行為対策の実態調査（グラフ1）
で社の69パーセントにあたる232社が外か

また表面化していないものも含めると、実は、不正アクセスなどのアクセス元に関らの侵入や攻撃によりインシデントが発生際の発生件数は計り知れない。それにひする問いに、全体では、「社外（学外）国内しており、また、328社の68パーセントに

きかえ、不正アクセスを原因とする情報漏から」が57.9パーセントと最も高いが、「社あたる223 社が内部の原因によってイン洩は3件しかなく、被害者も2500人だけ

内（学内）
から」
も9.4パーセントあり、内部

シデントが発生していると答えている（設であった。また、情報漏洩によって損害賠

犯行の事実が明らかになっている。

問により回答社数が異なる）。つまり、米償が発生したとすると、1 件あたり約 2 億

一 方 、海 外 の 状 況 として、米 国 の国では内部に起因するセキュリティーイン

4,000 万円の賠償額になり、株価の下落

Computer Security Institute（参考 3）のシデントが、外部のそれとほぼ同じだけあによって企業価値が18億円以上のマイナ

調査結果を見ると（表2）、調査に回答した

ると認識されているのである。

スになる可能性があるという試算も出て356社の74パーセントにあたる263社がま た 、 米 国 Information Securityいる。

過去1年になんらかのセキュリティーイン

Magazine（参考4）の2002年度の調査結

シデントがあったと答えている。また、336

果を見ると（グラフ 2）、調査に回答した

また、警察庁による平成15年度不正ア

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.09 +++99

ンスや、従業員に対して教育を施すことに■表2 セキュリティーインシデントを受けた比率

より情報セキュリティーに対する意識を向インシデント全体の件数ごとの比率（パーセント）

上させるなどの運用維持のための努力を

1〜5件

6〜10件

11〜30件31〜60件61件以上不明

2003年（N=356）

38

20

16 ※

0

0

26

2002年（N=321）

42

20

8

2

5

23

2001年（N=348）

33

24

5

1

5

31

2000年（N=392）

33

23

5

2

6

31

1999年（N=327）

34

22

7

2

5

29

1〜5件

6〜10件

11〜30件31〜60件61件以上不明

2003年（N=336）

46

10

13 ※

0

0

31

2002年（N=301）

49

14

5

0

4

27

2001年（N=316）

41

14

3

1

3

39

によって組み込まれたハッキングツールを

2000年（N=341）

39

11

2

2

4

42

1999年（N=280）

43

8

5

1

3

39

検出する技術や、社員がその職権を悪用ならないだろう。
また、中途採用が常識の時代になり、企業モラルが低下する現状では、性善説に基づいた対策は際立った功をなさなく外部からのインシデントの件数ごとの比率（パーセント）

しなければ、内部でのインシデントはなくなってきている。社員のミスによる危険な設定を安全に自動修正する技術や、社員して機密データを外部に持ち出すことを内部からのインシデントの件数ごとの比率
1〜5件

6〜10件

11〜30件31〜60件61件以上不明防止する技術など、もはや性悪説に基づ

2003年（N=328）

45

11

12 ※

0

0

33

いて内部犯罪を技術的にコントロールす2002年（N=289）

42

13

6

2

1

35

2001年（N=348）

40

12

3

0

4

41

2000年（N=392）

38

16

5

1

3

37

1999年（N=327）

37

16

9

1

2

35

（パーセント）※2003年は「11件以上」の数値を示す

出典：2003 CSI/FBI Computer Crime and Security Surveyよりる時期に来ていると言えよう。
【参考 1】警察庁サイバーポリスのウェブ
サイトでは、ハイテク犯罪・サイバーテロの未然防止および被害の拡大防止を図■グラフ2 ITセキュリティで最も重要な問題点は？
0

5

10

15

るべく、ネットワークセキュリティーに関
20

25

30

複数回答
35

するさまざまな情報を提供している。
http://www.cyberpolice.go.jp/

31％

不正プログラム【参考 2】NPO日本ネットワークセキュリ
23％

許可されたユーザーティ協会（JNSA）
では、現在20近いワー
キンググループが活動を行っているが、

15％

IT／通信機器の脆弱性

前年に引き続き、情報セキュリティーイ
ンシデント被害調査をプロジェクトとして

11％

無許可ユーザー

行った。
組織管理

9％

http://www.jnsa.org/active1a.html
出典：The 2002 Information Security Magazine (ISM) surveyより【参考 3】米国の情報セキュリティー教育機関であるComputer Security Institute

内部犯罪も性悪説で対抗2196社中全体の31パーセントが、ITセキ

では、毎年 FBIと協力して、全米の企業に対して情報セキュリティー調査を実施

ュリティーで最も重要な問題点はウイルスしている。

やトロイの木馬などの「不正プログラム」

これらの調査報告からわかるとおり、企であると答えている。これは近年のウイル業にとって内部向けの対策の必要性が大ス感染の状況から容易に推測できる。ときくなっている。これら内部問題は、設定

ころが、日本で一般的に問題だとされるミスや内部犯罪など人間に起因するもの【参考 4】米国の情報セキュリティー情報「無許可ユーザー」が問題であると答えたが大多数であるために、セキュリティーポ

会 社 で あ る Information Securityのはわずか11パーセントであり、その倍以リシーを規定することでシステムの運用管

Magazine では、毎年、全米の企業に対上の23パーセントがアクセス権利を持つ理の手順を明確化し、モラルを向上させして情報セキュリティーの調査を実施しユーザーや従業員が問題であるという驚る努力が必要である。特にポリシー策定ている。

きの報告が出ている。

後は、現状に即したポリシーのメインテナ

100 +++ iNTERNET magazine 2003.09 +++http://www.gocsi.com/

http://www.infosecuritymag.com/

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

「 情 報 」「 信 頼 」 と い う 企 業 資 産 を 守 る

漏洩してからでは手遅れだ

情報管理の大原則と具体的対策
大原則はポリシーなどによる運用面での対策

事例：顧客になりすました不正送金
2002年5月10日、警視庁ハイテク犯罪対策

た当時、口座の暗証番号に生年月日が使わ

総合センターと武蔵野署は、インターネットバ

れることが多いことに目を付け、口座開設者

昨今顕在化してきた「内部犯行」だが、ンキングを経由して約370万円をだまし取っの口座番号などの個人情報をメモしておき、

いまだ、表沙汰にせずに組織内部で処理たとして、シティバンクの元派遣社員を不正暗証番号として生年月日が使用可能な顧客2

アクセス禁止法違反、私電磁的記録不正作

人を特定した。そして、顧客になりすまし、勝例をいくつか挙げるが、こうした事例は氷出・同供用、および電子計算機使用詐欺など手にインターネットバンキングの利用登録をの容疑で逮捕した。逮捕された人物は、同行行い、他人名義の銀行口座に不正に送金し山の一角に過ぎない（右）。では、内部犯のカスタマーサポートサービスに従事していたのだ。

されることが多い。内部犯行が露呈した

行に対してどのような対策を、企業や組織はとることができるだろうか？
対策には 2とおりのアプローチが考えられる。1 つはソフトウェアやツールによる対策、もう1つは情報セキュリティーポ
リシーの策定・運用を中心とした運用面での対策だ。ソフトウェアなどによる、個別の犯行パターンに対する対策については
105〜107ページで解説するが、これはあくまでも個別の対応でしかない。情報漏洩を適切に防いで企業活動を継続するた
めには、セキュリティーポリシーや日々のチェックなど、運用面での対策が大原則となる（102〜104ページ）。

■情報漏洩、および内部犯行の事例
日付
概要
2003年6月26日 大手コンビニエンスストアであるローソンの発行するカード会員約56万人分の氏名、住所な
どの個人情報が社外に流出
2003年6月11日 海上保安庁の職員が勤務中に職場のコンピュータを使用し、インターネット上の掲示板に書き込んでいたことが判明。同庁は内部調査を行い、書き込みを行った職員を特定し、口頭で厳重注意を行った2003年6月9日
神戸市に本店のある富士信用組合は、本店の元融資部課長代理が、兵庫県内の法人や個人の手形不渡り情報計3515件を無断でフロッピーディスクにコピーし、大阪市内にある消費者金融業者に渡したとして、窃盗容疑で生田署に告訴
2003年1月23日 顧客7人の口座番号と貯金残高を探偵事務所の従業員に教え、その見返りとして金銭を得たとして、さいたま市の浦和田島郵便局職員を再逮捕
2002年12月19日 エステティックサロン大手のTBCを経営する「コミー」が管理する5万人余の個人データが流出した問題で、迷惑メールやいたずら電話で被害を受けた10人が同社を相手に総額1,150万円の損害賠償を求める訴えを起こす
2002年12月4日 三重県四日市市で、市の職員が住民情報オンラインシステムを使用し、住民の個人情報を不正照会した疑いが出ている問題で、四日市市は、「市の独自捜査では限界がある」
として不正アクセス禁止法違反の疑いで、職員を特定しないまま四日市南署に告発
2002年10月25日 大分医科大の男性教授が部下の女性技官の電子メールを無断で閲覧していたことが発覚
し、同大はこの教授を6か月の減給処分に、また、この教授とは別に、職員9人のパソコンに侵入した男性技官を戒告処分にしたと発表

情報漏洩対策を急務にする個人情報保護法
2003年5月23日、個人情報保護法（個人情報の情報として扱われるのだ。

保護に関する法律）
が成立した
（右表）
。施行は

個人情報保護法にも罰則が設けられている。違と、是正の勧告ないし命令が行われ、改善がみられない場合は、6か月以下の懲役または30万

まだ先になるが、対象となる規模については反した行為の被害を受けた個人などから、その円以下の罰金に処せられる。

「5000人分以上の個人情報を保持する者」
とい

事業者を監督する主務大臣に通報が行われる

う指針が出ている。
これまでは消費者の個人情報は「顧客情報」として組織の財産とみなされることが多かった一方で、蓄積された顧客情報の取り扱いに関する不透明感が存在した。子供が会社に入社したら「フレッシャーズフェア」
としてスーツの購入をすすめるダイレクトメールが送られてきたといった経験がある人も多いだろう。また、顧客情報以
外にも組織の従業員情報が個人情報とみなされる可能性がある点にも注意してほしい。従業員名簿はもちろんのこと、履歴書、給与データ、
住所届などは「インハウス情報」と呼ばれ、個人■個人情報保護法の概要
法律の要旨
対象となる組織
個人情報の定義
法律の対象の組織に課せられる義務

個人情報を保持している企業や団体に対して、個人情報を漏えい、毀損などのないよう、適切に管理することを義務付けるもの
個人情報データベース等を事業の用に供している者
生存する個人の情報であり、この情報に含まれる氏名、生年月日などの記述により、特定の個人を識別することのできるもの
利用目的の特定と明示
本人の同意なく、目的外の利用に個人情報を使用することを禁止
偽りやその他不正な手段をもって個人情報を取得することを禁止
従業者、および委託先の監督本人から個人情報の開示請求があった場合は、それを開示しなければならない
目的が公表されていない場合、もしくは、不正な手段をもって個人情報を取得された場合、本人の要求に応じてそのデータの停止または消去をしなければならない

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.09 +++101

情報セキュリティーポリシーで組織の情報資産を守る
ISMSやBS7799などの認証は「取得」がゴールではない
内部犯行も含め、情報セキュリティーの確保のどが存在するであろうが、これらは共通して情報

組織の内外に対してセキュリティー管理状態のためには、情報セキュリティーポリシー（単純にであり、資産でもある。こうした情報資産を保護

高さのアピールになるという効果を得ることが『セキュリティーポリシー』とも呼ばれることもあするための規約集が、情報セキュリティーポリシ

できるのだ。

る）の策定と運用が効果的である。情報セキューなのだ。

こうした認定の取得を中心とした情報セキュリ

リティーポリシーとは、各組織の情報システムの組織の情報セキュリティー管理にかかわる規格

ティーポリシー策定のためのサービスを提供し利用者の情報セキュリティーに対する意識向上が存在している。そのうちのいくつかを表に示ている企業は多いので、外部コンサルタントなはもちろんのこと、利用者個人の裁量だけで情す。ISMS認証やBS7799については、なんとなどと協力してポリシーを作り上げていくことにな報の扱いが判断されることのないよう、組織とく耳にしたことのある読者も多いことだろう。情るだろう。ただ、間違ってはいけないのは、情報して意思統一され、明文化された文書のことで報セキュリティーポリシーを策定して適切に運用

セキュリティーポリシーは、「認定を取得するためある。

することでこうした規格の認定を取得することで、のもの」ではないということだ。

たとえば、コンピュータウイルス対策ソフトウェ
アは、コンピュータにインストールしただけでは意味がなく、常に最新の状態を保てるように、
アップデートを繰り返すことで最大の効果を得ることができる。日々、新たに生まれているコン
ピュータウイルスを検出し、駆除することができ■情報セキュリティー管理にかかわる認証規格や制度
規格名

概要

ISO/IEC15408

ハードウェアないしソフトウェアを含むセキュリティー製品と、システムの開発や製造、運用なないからだ。では、アップデートはどのくらいのどに関する国際標準。ITSEC（Information Technology Security Evaluation Criteria）
や頻度で行えばよいのであろうか？ 組織内でこCC（Common Criteria）とも呼ばれ、同義で扱われる。
http://www.jisc.go.jp/

れを行っている頻度や期間は、従業員によってまちまちであることだろう。そこで、「コンピューISMS

Information Security Management System の略称。正確には「ISMS適合性評価制度」と呼ばれる。情報処理サービス業事業者に対する評価認定制度の1つ。技術的な詳細でタウイルス対策ソフトウェアのアップデートは毎はなく全体としてのセキュリティー管理体制を扱う。

週水曜日に必ず1回行う」
といったように規定として定め、その周知徹底を従業員に対して行う

http://www.isms.jipdec.or.jp/
BS7799BSI（British Standards Institution：英国規格協会）
によって規定されている、企業および団体

ことで、組織の意識統一を実現できる。この向けの情報システムセキュリティー管理のガイドライン。ISO/IEC15408と並んで現在最もポ「規定」の集合体が情報セキュリティーポリシー

ピュラーなセキュリティーの規格。
http://www.bsi-j.co.jp/

である。
情報セキュリティーポリシーに『情報』という接頭プライバシーマーク

通商産業省の個人情報保護ガイドラインに準拠して個人情報の取り扱いを適切に行っている民間事業者に対して「プライバシーマーク」の使用を認める制度

辞が含まれるのには理由がある。組織には、顧

http://privacymark.jp/

客情報から会議の議事録、新製品の設計書な

責任者自ら情報の価値を判断してポリシーを策定する「丸投げ」で策定されたポリシーは形骸化する「きみ、明日からこれをやってくれ」という一言

かに、昨今の情報ネットワークテクノロジーの組織の保持している情報資産と、直面しているだけで、方針や方策については一切関知しな

発達はすさまじいものがあり、技術的な裏付け

リスクの評価を行うことは、経営方針や組織のいという「丸投げ」的な仕事の依頼は日常茶飯なしに具体的な対応を行うことが難しい。

戦略に密接にかかわってくる重要な問題であ事だろう。組織の情報資産を保護すべく行わ

しかし、技術的な対応を行う前に「どの情報にり、事業者自らが判断を行い、定めるべきであれる情報セキュリティーポリシーの策定と運用

資産価値があり、どの程度のリスクが存在し、る。情報セキュリティーポリシーは、その結果においても、「ISMS認証を取得したいので、情そうしたリスクからどの程度の保護を行う必要を受けて作られるものなのである。

報セキュリティーポリシーを作ってくれ」という性があるのか」を明確にする必要がある。すべ

情報セキュリティーポリシーの作成を検討して一言だけで、ポリシー策定の仕事全体が丸投ての情報を完全に守ることはリスクとコストのいるならば、できれば、情報セキュリティーのげされることがあるが、これは本質を見失った

バランスに問題があるし、このステップなしに

課題に事業者自らがリーダーシップをとって取誤りである。

技術的な対応を行っても、現場任せの場当たり組んでいるということを、従業員の前で宣言「情報セキュリティーは技術的な問題である」とり的な対処になり、せっかくの情報セキュリテ

していただきたい。そうすることだけでも、情して技術担当部門に情報セキュリティーについィーポリシーが形骸化してしまうことは目に見報セキュリティーポリシーの策定と運用に関すての懸念事項が持ち込まれることは多い。確えている。

る促進剤として働いてくれるはずである。

102 +++ iNTERNET magazine 2003.09 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

［特集2］

外部からのアタック対策だけではないセキュリティー

組織内ネットワークの情報管理術

実際の運用を考慮して現実的なポリシーを策定する
厳しすぎる規定がポリシーをダメにする
情報セキュリティーポリシーの策定が終わり、いとしてしまうと現場とのギャップが発生する可能が、電子商取引サイトのインフラ部分で発生しざ運用のフェーズに移ったとして、規定を守らな性がある。

た場合は、より損害が大きくなることは容易に想い従業員の姿が目につく。なぜと思うこともあ

組織内の根幹をなすルーターのような重要機器像できる。

るだろうが、実際には実現することが難しい規定が停止し、業務に大きな影響を生じたとする。

こんなケースを情報セキュリティーポリシーの策が定められていることも多々ある。

ここで、ルーターを管理する技術部門の担当者

定の際に想定しておけば、重要なシステムや機ありがちなのは「パスワードに関する規定」であが、たまたまその日は休暇を取っていたとしよう。

器の管理用のパスワードは紙に書いておき、そる。パスワードは基本的に複雑なものを使用し、パスワードは情報セキュリティーポリシーによっれを鍵付きの保管庫に入れ、厳重に管理する、

かつそれを覚えることが最も良い、高い機密性て複雑であり、規定によってメモなどには書かれといった別枠の規定を設けておくこともできたでが求められるものであることはもはや周知の事ていない。担当者の携帯電話に電話を入れてあろう。ポリシーは運用するためにあるのだとい実だろう。しかし、これを規定としてただ単に「パ

みるが、応答がなく、そうしている間にも刻一刻うことを忘れてはいけない。

スワードを複雑なものにし、それを覚えること」とロスが発生していく。これは組織内での例だ

ポリシーは「新しい制限事項」ではない
運用の現場との対話が生み出すセキュリティーポリシーの理解
情報セキュリティーポリシーの策定に際しては、って保護される情報があり、それが組織全体にば、情報化が進む社会の中で情報セキュリティ

さまざまな部署の従業員を参加させ、各規定に対して重要な意味をなすということを根気強く説ーは今後果たすべき役割として重要な位置を占対する意見を求めることが必須だ。ただ、利便明することがよいだろう。

めており、その責任が従業員1人1人にかかわ性を損なうからといって従業員が反対しかねな

残念ながら、こうした対話が従業員との間で行ってくることについて理解できるはずだ。そういい規定もあるだろうが、それは実行できないとい

われることはまれである。情報セキュリティーポ

ったことまで含めて現場の従業員と対話を行う

うわけではなく、「今まで」とのギャップを感じてリシーは「新しい制限事項」
として従業員の間にことが、そうした誤解を解きほぐすことになるだ

いるという意思表示に近いだろう。そうした場合

受け入れられてしまう恐れがある。そうではなく、ろう。

には、意見に耳を傾けながらも、その規定によ

組織と経営環境である社会との関係を考えれ

情報セキュリティーは戦略として捉える「後ろ向き」ではない、組織の責任としての経営課題
情報セキュリティーは、組織内の体質や風土を組織にも存在していることだろう。こうした従業改革するための柱となるものである。特に「コン員も含めて、倫理と規定について議論する、まコスト効果に優れたセキュリティー対策を実現するための方策ができつつある。

プライアンス」と呼ばれる組織内での倫理や規たは対話を行うような場を作る、または、外部か「異常なし」というのは、あたりまえのことのよう定の遵守については、個人情報保護法の登場でら講師を招聘して教育してもらうことは、はたしに思える。また、「なにも起こらない」ことに投資急速に重要課題となりつつある。これまでは、そて後ろ向きの投資だろうか？

をしたとしても、費用対効果が非常に見えづら

うした倫理や規定については組織内の一部門の「憂国の士」は必ずしも組織にとって毒ではない。

い。それでも、組織が大きくなれば大きくなるほ

問題として捉えられ、場当たり的な処置で対処

むしろ、問題に対して率先垂範で改善を考えてど、「なにも起こらない」という確率は確実に下されてきた。情報セキュリティーに対する投資も、いる人材であり、彼らを巻き込んで従業員の意

がってくるはずだ。そして、「困ったことが発生し個々の問題の解決策のためだけにある「利益を識改革に取り組むことはこの上ないことではな

ました」ということが伝達しにくい組織風土もま

生まない後ろ向きの投資」とみなされてきた。

いだろうか。

た、組織の大型化に伴って生まれやすい。

しかし、情報漏洩に代表されるような、組織の最近では、情報セキュリティー投資評価（Return

情報セキュリティーを経営課題とみなし、それを不祥事が明らかになれば、社会からは、果たす

On Security Investment：ROSI）という指標が戦略的に位置付けることが、IT化社会のなかでべき責任を怠っているとみなされる。また、「組

生まれており、「投資によって、どれだけ効果的な組織が責任を果たしていくうえでの基本となるの織のため」という名目で暴挙ともとられかねない

セキュリティーを実現するか」を計るための指針である。

ことをやろうとする「憂国の士」の従業員がどのとなるものとして注目を集めている。すなわち、

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.09 +++103

情報漏洩対策チェックリスト
情報漏洩全般に対するセキュリティー対策でチェックしておくべき20項目を挙げておく。
主に情報を扱う業種であれば、1つでもチェックが漏れていれば、情報セキュリティーポリシーの策定、または見直しを検討するべきだろう。

● ネットワーク□ 会議室に、誰でも使える空いたネットワーク接続口はありませんか？
□ メーカー出荷状態のままで使っている無線LANはありませんか？
また、無線LANの暗号化キーは定期的に変更していますか？

□ 社内LANの盗聴チェックは行っていますか？
□ 退職者のネットワークやメールのアカウントは即時に停止するルールがあり、実行されていますか？
□ メール監視の抜き取りテストやPC管理状態の抜き打ち検査をしていますか？
また、していることを皆が知っていますか？

□ 仕事の持ち帰りで自宅アドレスにメールでファイルを送っていないですか？
□ テストデータに「生データ」を使っていないですか？
□ ウイルスが発見されたとき、まず感染したPCのネットワークケーブルを外すことを徹底していますか？
● ドキュメント□ バックアップメディアはちゃんと保管できていますか？ 紛失したことはないですか？
□ 重要な書類は自らシュレッダーに投じていますか？
□ 机の上に書類を出したまま帰宅している人はいませんか？
□ パスワードの書かれた付箋をディスプレイに貼っていたりしませんか？
□ 必要のなくなった個人情報を保管し続けていませんか？
● ルール□ 高性能カメラ機能付き携帯電話の持ち込みは、制限していますか？
□ 業務分掌の中に情報セキュリティー対策としての責任が明記されていますか？
□ 機密保持をテーマとした教育や訓練は行われていますか？
□ 懲罰規則は、皆が知っていますか？
□ 清掃会社との機密保持契約は、大丈夫ですか？ 無人状態での清掃はありますか？
□ システム会社との機密保持契約は、大丈夫ですか？ 無人状態での作業はありますか？
□ 職場の同僚は、会社への不満を募らせていませんか？

104 +++ iNTERNET magazine 2003.09 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

［特集2］
Note：ここからは、技術的な対策をいくつか紹介していくが、必ず前述のように経営戦略として情報セキュリティーをとらえていく
ことを実行してから、こうした対策について検討していただきたい。

外部からのアタック対策だけではないセキュリティー

組織内ネットワークの情報管理術

機密文書がCD-Rで持ち出されたーの端末に接続されているフロッピーディスクや圧倒的に多いメディアによる流出

MOなどのドライブはリスクにつながることを理解すべきだ。

［インシデント］

提供が開始される予定の、マイクロソフト社の機密文書は、紙媒体だけでなくCD-R、MO、Managementを使った犯行がある。技術的な対策としてはレ

フロッピーディスクにコピーして持ち出されること

Services）
である。RMS は次期 Office 製品のンズを覆うことや、オフィス内に監視カメラを設置がある。情報を売却することを目的にした故意にOffice 2003で作成された文書に対して印刷、することぐらいしかできないので、基本的には情加えて、自宅に持ち帰ろうとした仕事の書類が入変更、コピーなどの許可／不許可（パーミッショ

報セキュリティーポリシーなどのルールで持ち込ったカバンをなくした、といった過失も含まれるたン）を設定し、ユーザーごとのアクセス権限を設みを禁止するしかない。特に、高性能化したカメ

め、こうした持ち出しによる情報漏洩は圧倒的に

定できる
（図）
。

多い。

RMS（

Windows

Rights

また、最近ではデジカメやカメラ付き携帯電話

ラ付き携帯電話はデジカメなどよりもはるかにこういった製品を利用することで、デジタル文「さりげなく」情報を持ち出せるので、情報が命の書を印刷して持ち出す、あるいは、フロッピーディ［防御策］

スクなどに収めて持ち出

DRM（Digital Rights Management）
を使うのすといった犯行が行われが1つの対策となる。DRMは、もともとは音楽やる可能性を低くすることが映像を配信する際の著作権保護のために利用できる。

されてきたもので、暗号化とアクセス権の管理を

紙媒体の情報は持ち併用することで、不正コピーを防止できる。この出しを防ぐための物理的テクノロジーを利用して、デジタル文書の閲覧、な保護手段が必要だとい印刷、変更、コピー、それからデスクトップのキャうことは周知の事実だが、プチャーなどを防ぐことができるのだ。

同様に、個人情報などに中でも一番注目されているのが、この夏から組織では対策が必要だ。
RMSが稼働するシステム

2. パーミッションの設定

5. パーミッションの割り当て
閲覧 ◎
印刷 ×
キャプチャ ×編集 ×

1. 書類の作成

アクセスできるオペレータ

従業員がメールの盗聴をしていた
現状では情報を裸で送っているに等しいメール

4. パーミッションの確認

3. 書類の配布には、なかなか突き止めにくい。
対策としては、まず、メールサーバーを含め、重要なシステムへの物理的な保護を行うことで［ イ ン シ デ ント ］
メールの盗聴には、ネットワーク上を流れるデータを取得する「スニッファー」と呼ばれるプロッファーの利用禁止と、不定期にスニッファー

ある。そして、こうした重要なシステムで作業がの検出が行われることを明示することで、さらに行われる場合は、必ず2人以上の人間で行い、抑止効果も望める。

そして要職にある従業員を伴うことを情報セキグラムが使われる。メールは基本的に暗号化ささらに、PGP などのメールを暗号化できるツれていないため、スニッファーを使うことでメーールを使うと、盗聴されることがあっても中身をルを盗聴して、本来中身を知り得ないはずの情

読まれることはない。相手もメールの暗号化を報を入手できるのだ。

利用していないといけないのが難点だが、社内ュリティーポリシーで規定をする。あるまじき行
為をチェックするためだ。
http://www.securityfriday.com/

でメールの暗号化を使うルールがあれば、比較［防御策］
セキュリティーフライデー株式会社

的重要な書類がメールでやりとりされる可能性がフの高い社内のやりとりは安全になるだろう。

リーで提供している「PromiScan」
（図）
を使えば、

しかし、これだけでメールの盗聴を防げるわけ

スニッファーを実行しているシステムを検出できではない。たとえば、盗聴者がメールサーバー

る。スニッファーを実行しているシステムが特定の設定を変更できるシステム管理者であれば、のパケットに対して応答することを利用して検出

メールの転送設定を変更できるので、重要な情を可能にしている。また、こうしたツールを使う報を扱っている役職者のメールをすべて自分のだけでなく、情報セキュリティーポリシーでスニアカウントに転送できてしまう。このような場合

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.09 +++105

メールを使って機密データが外部に送信された
あらかじめ周知したうえでのメール監視が抑止効果を持つ［ イン シ デ ント ］

［防御策］

行うのであれば、業務に使用するために提供し前述のDRM製品やRMSを使ったとしても、正メールによる持ち出しに関しては、通信の監ているメールシステムでの監視は法的に問題な

規の「それを編集可能な従業員」はコピーなどが視で対応する。指定されたキーワードがメール

いというのが一般的な見解だ。監視した内容が可能なため、悪意があれば持ち出されてしまう可の内容に含まれている場合に警告を出す監視

記録され、かつ、適切に保管されていれば、たと能性もある。しかも、持ち出しはフロッピーディス

ソフトウェアなどがあるのでそれも併用するべきえメールの本文や添付ファイルに暗号化がなさ

クなどの外部媒体に限らず、メールに添付して送だろう。現在は、メールの監視が情報漏洩の防れていても、メールを使って機密データを送信し信される可能性もある。

止の目的のために行われることを事前に組織内たと疑わしい人間を特定する手がかりになる可に通知してあり、かつその目的に沿った監視を能性がある。

公開サーバーを通して個人情報が漏洩した設定とセキュリティーホールを継続的に確認［ イン シ デ ント ］

■2002年5月を中心にした公開サーバー経由の情報漏洩事件

厳密に言えば内部犯行ではない場合が多いが、日付
2002年5月27日

内部の人間の過失による情報漏洩という点で重2002年5月27日

要である。公開ウェブサーバーから情報が漏洩する事例が2002年5月を中心に多発した（上表）。

2002年5月28日

外部からのアクセスが可能でファイル一覧を表示
2002年5月28日

できる場所に機密ファイルが存在していた過失が2002年5月28日

原因だ。また、増加傾向にあるのは、ウェブアプ

概要
エステティックサロン大手のTBC（東京ビューティーセンター）のウェブサーバーで、約3万件の個人情報が閲覧可能な状態になっていた
建材メーカーであるYKKの子会社、YKKアーキテクチュラルプロダクツのウェブサーバーで、
アンケートに回答した約4万5千人分の住所、氏名や年齢、電話番号、電子メールのアドレスなどが閲覧可能な状態になっていた
日本大学のウェブサーバーで、通信制大学院の願書を請求した約1800人分の名前や住所などが閲覧可能な状態になっていた
日本テレビの関連会社「日本テレビエンタープライズ」のウェブサーバーで、同社の ウェブサイトに寄せられた242人分の意見と、住所や名前などが閲覧可能な状態になっていた
全日空の関連会社「全日空ワールド」のウェブサーバーで、パンフレットを請求した約1500人分の住所や名前などが閲覧可能な状態になっていた

リケーションの「セキュリティーホール※」が原因で、顧客情報にアクセスされてしまう例だ。

［防御策］
情報セキュリティー責任者の任命や情報セキュリティーポリシーといった包括的なアプローチ
が大前提となる。技術的なアプローチは根本的な解決ではないことを忘れないでほしい。

①不正アクセス対策製品の導入
セキュリティーレベルを向上させ、情報漏洩を未然に防ぐことができる（下表）。

②ペネトレーションテスト
（疑似侵入検査）
了解を得て、実際のサーバーやネットワークを不正アクセスの手法で攻撃するテスト。継続的に行うことで、日々発見され続けるセキュリティーホ
ールや設定の不備を検出して対策できる。
※セキュリティーホールとは、システムの停止や侵入を許してしまう、ソフトウェアのバグを指す。

106 +++ iNTERNET magazine 2003.09 +++■不正アクセス対策に有用なアプリケーション
iptables（フリーソフトウェア）
ファイアーウォール：http://www.netfilter.org/
外部の信頼できないネットワーク
FireWall-1
からの不正な通信を遮断すること
http://www.checkpoint.com/products/protect/firewall-1.html
で、組織内部のネットワークを保護
Microsoft Internet Security and Acceleration Server
するシステムhttp://www.microsoft.com/japan/isaserver/
NetScreen
http://www.netscreen.com/products/datasheets/
Cisco Secure PIX Firewall
http://www.cisco.com/japanese/warp/public/3/jp/product/product/security/pix/
Snort（フリーソフトウェア)
IDS：
http://www.snort.org/
Intrusion Detection System、侵Cisco Secure IDS
入検知システム。通信を監視して、
http://www.cisco.com/japanese/warp/public/3/jp/product/product/security/ids/
不正アクセスの可能性のあるもの
ISS RealSecureを検知し、警告を発するシステム
http://www.isskk.co.jp/enterprise.html
Dragon IDS
http://www.enterasys.co.jp/products/ids/
AppShield
ウェブアプリケーション
http://www.shield.ne.jp/appshield/
保護ソフトウェア：
SecureIIS
ウェブアプリケーションのセキュ
http://canon-sol.jp/product/si/
リティーホールを利用したと思わInterDo
れる攻撃を検出し、遮断するソフ
http://www.dit.co.jp/kavado/interdo.html
トウェア
guard3（フリーソフトウェア）
http://www.trusnet.com/tools/guard3/
URLScan（フリーソフトウェア）
http://www.microsoft.com/japan/technet/security/tools/tools/locktool.asp
TripWire
整合性確認ソフトウェア：
http://www.tripwire.co.jp/
ファイルシステムの整合性を確認
WinInterrogate（フリーソフトウェア）
し、ファイルの改ざんや上書きを検http://winfingerprint.sourceforge.net/wininterrogate.php
知し、警告を発するソフトウェア
YAKITORI（フリーソフトウェア）
http://www.yakitori.biz/

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

［特集2］

外部からのアタック対策だけではないセキュリティー

組織内ネットワークの情報管理術
紛失したノートパソコンから情報が漏れた
パスワードや暗号化による事前の対策をポリシーで規定［ イン シ デ ント ］

パスワードを設定しておくとさらによい。製品によし、［内容を暗号化してデータをセキュリティで保重要な案件のファイルが詰まっているノートパってはハードディスクのロック機能を兼ねていて、護する］のチェックボックスをオンにする（図）。機

ソコンをうっかり紛失してしまうこともある。パス

ハードディスクがノートパソコンから抜き取られて

密データ用のフォルダーを新たに作成し、そのフワードでロックがかかっていても、入手したノートもその内容を閲覧できなくなる。従業員が使用

ォルダーにEFSを適用しておくことで、このフォルパソコンからハードディスクを取り出して、別のコするノートパソコンの選定時にはこの点も考慮す

ダー内に新規に作成されるファイルとフォルダー

ンピュータに接続すれば、パスワードがなくてもるとよいだろう。ただし、そうした製品を購入してはすべて暗号化されることになる。これで、ハーも、ハードディスクのロックを設定し忘れればまっドディスクを抜き出されてしまったとしても、デー

たく意味がないので、情報セキュリティーポリシ

タが暗号化されているのでかなり安全である。

中身を読み出せてしまう。

［防御策］

ーなどで規定することが望ましい。
どちらも「事前に行うべき対策」であることは言①パスワードによる保護
ノートパソコンを携帯して持ち歩く場合には、

うまでもない。情報セキュリティーの管理では、②OSの標準機能による暗号化

最低限 OSレベルでのパスワードによる保護を

Windows 2000から、暗号化ファイルシステ

行っておく必要がある。面倒だからと言ってパスム（Encrypting File System：EFS）と呼ばれるワードなしでログオンできるようにしていると、拾ファイルとディレクトリーの暗号化機能が実装さったノートパソコンの電源を入れるだけで、そのれた。この機能は、公開鍵暗号方式をもとにしてノートパソコンの内容をすべて読み取ることがでおり、秘密鍵なしではデータを読み出せない。

「転ばぬ先の杖」が常に必要となってくるのだ。

ファイルやフォルダーを右クリックして［プロパ

きてしまい、大幅に危険性が増す。
同時に、BIOSレベルでのシステム起動用の

ティ］
を選択し、
［全般］
タブの［詳細］ボタンを押使用済みのハードディスクに残っていた情報が漏れた
使い終わったPCのハードディスクはツールを使って抹消処理をする［ イン シ デ ント ］

①市販のソフトウェアを使う

2002年1月16日、福岡県警の内部データが残市販されているデータ削除ソフトを使えば、ハったままの中古パソコンがリサイクルショップで販

ードディスクの内容を完全に消去できる。消去の売されていたことが判明した。福岡県警職員の私方式はさまざまなものがあるが、どれを利用しても物で、データを消去しないまま廃棄を販売店に依

特に問題はないだろう。

頼したところ、そのまま流れたということだ。これは過失によるものだが、データを削除しても、ハ消すには次のようにする。
C:¥> cipher /W:D:¥③入退出の記録
備品管理だけでなく、休日出勤や残業時の手続きでも、従業員がオフィスにいることを記録で②ウィンドウズ付属のツールを使う

きることが望ましい。カードキーなどによる物理的ードディスク上では削除マークが付いて見えなく

cipher.exeは、Windows 2000 SP3以降やな保護をしても、その記録が残っていなければ、されるだけで、実はデータはそのまま残っている。

Windows XPで利用できるNTFSファイルシス

問題が表面化した際の手がかりが消えてしまう。

市販のデータ復旧ソフトウェアを使えばデータを

テム用のユーティリティーである。cipherにワイ

怨恨などの理由で、休日出勤や残業を装って取り出せる可能性があるのだ。フォーマットして備

プスイッチ
（/W）
を付けて実行すると、まずすべて

同僚のハードディスクからメールの内容などの情品として管理されているハードディスクでも、持ちゼロを書き込み、次にすべて1を書き込み、最後報を取り出す従業員がいた場合、その入退出の出されれば情報漏洩につながりかねない。

にランダムなデータを書き込むことで、ディスクの記録が後からの調査に役立つ。同様に、備品の内容を完全に消去する。消去対象のハードディ

倉庫として使用されている部屋にも物理的な制スクを2台目のハードディスクとして接続して、空限を行い、入退出の記録をとっておくことが望まのNTFSパーティションを作ってから、このドライ

しい。

［防御策］
備品のハードディスクでも、内容を完全に消去することが望ましい。

ブを消去する。たとえば、D:ドライブのデータを

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.09 +++107

情報セキュリティー対策の現場

経営者が積極的に参加すべきコーポレートガバナンス

プロに聞くポリシーの策定・運用から得た教訓
三位一体で運用する
セキュリティーポリシー

有機的に運用されているとは言えません」（前出のセキュリティー担当者）という言葉が象徴しているように、現実にはまだビジ

最後に、実際のビジネスの現場におけネスの現場レベルでの意識が低いため、る情報セキュリティーの現状について見多種多様なリスクの存在に対する想像力てみよう。

に欠けているというのが正直なところだと

企業活動における情報リスク分析とそ言う。日本では「水と安全はタダ」という神のセキュリティー対策に関しては、情報関話が、まだまだ神通力をもっているようだ。

連企業で構成される「情報サービス産業

そのためか、最近では外資系企業を中協会」

心に、社員のリスク意識を高めるために、という団体で議論が重ねられてきた。

入社契約時にセキュリティーについての厳「そこで、情報リスクを脅威の観点から格な取り決めを明示するケースが増えて株式会社LAC JSOC事業本部・セキュリティー担当部長 斉藤稔氏

どのように分類するかについても検討していると言う。たとえば、「もしあなたが契約きたのですが、その結果大きく 人為的かに違反して内部情報を漏らした場合、会ベルを決め、プランを持ち、資源配分し環境的か

意図的か偶発的か という2社は必ずあなたを裁判に訴えます」というて」システムを運用するための評価制度でつの軸に従った分類方法を採用しました」

ようにである。あるいは実際に、
「この情

ある

（某メーカー系企業セキュリティー担当者）

報が流出したら1件あたりいくらの損害にそのISMSを、取得決定からわずか半年

具体的には、（ 1）人為的で意図的（不なる」ということを、具体的金額を示しなで認証にこぎつけたのが、（株）LAC のセ

正／犯罪）、（2）人為的で偶発的（人的エがら意識を高めていくということも有効か

キュリティー構築・運用サービスを担当す

ラー、誤操作、過失）、（3）環境的で偶発もしれない。

るオペレーションセンター、JSOCである。

的（障害、災害）という分類になる。

。

同社JSOC事業本部・セキュリティー担当

実際にセキュリティーポリシーを「運用する」ということそのうちの「人為的で意図的」なリスク
が、ここ1年くらい増加してきているという（表）。

部長である斉藤稔氏は、ISMSと情報漏洩対策についてこう語る。
「当社の場合、データごとのアクセス制

そういったリスクの回避・低減の具体的

そんな中、策定したセキュリティーポリ

限はもちろん、離席時には自分のマシンな方策としてまず考えられるのが、セキュシーを形骸化させない有効な手段として、へのスクリーンロックを義務付け、プリン

リティーポリシーの策定だ。とはいっても、

最近注目されているのが、国際標準に則トアウトした書類には必ず機密度に応じ

単にセキュリティーポリシーを作ればいいった情報セキュリティーマネジメントシステ

たスタンプを押印するなど、とにかく情報というものではもちろんない。

ム である「 ISMS（ Information Security

管理の細かい部分にまで規定を設けてい「重要なのは情報管理、セキュリティー

Management System）
」だ。

ます」

技術、人的体制が『三位一体』
となって運

これは、
「個別の問題ごとの技術対策の用されることなのです。しかし現状ではまほかに、組織のマネジメントとして、自らのけられた 20 名の幹部社員で構成されるだ、それぞれが『島』の状態で、必ずしもリスク評価により必要なセキュリティーレ「セキュリティー委員会」が担当する。そこ

セキュリティー関連の業務は社内に設から随時、セキュリティーポリシーの改訂■洗い出し、特定されたリスクのまとめ
特定したリスク

備考

43%

39%

不正・犯罪

非意図的 39%50%

不正・犯罪の一部、人的エラー、障害

18%

11%

災害

人為的 意図的
偶発的情報などが発信されている。情報は基本洗い出した（発見した）
リスク

出典：情報サービス産業協会 平成14年度 情報サービス業におけるリスクマネジメント調査報告書

108 +++ iNTERNET magazine 2003.09 +++的にすべて「Living Policy」という同社が販売もするウェブベースのグループウェア
を介して受発信されている。そこから情報
確認の指示メールを出したり、実際に社員

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

［特集2］

外部からのアタック対策だけではないセキュリティー

組織内ネットワークの情報管理術
が情報を閲覧したかどうかも確認したりでのである。

対する経営トップの営業的思惑のギャップ

経営トップの積極的参加なくして情報リスク対策なし

ょうか」に悩んでいるところは多いのではないでし

きるのだという。
「さらに当社は業務柄24時間で動いていますから、パソコン、デスク、ファクスか

つまり、せっかく取得したISMSが、単な
る営業ツールとしてしか機能しないケース

らホワイトボード上の板書まで含め、およがあり得るのだ。前出のセキュリティー担

そ目に見える箇所すべてに、情報が放置

ただし、そういった取り組みが作業を担されていないかチェックしています」（斉藤

当する現場レベルにとどまっている限り、当者が続ける。

氏）

いくらポリシーを作っても、苦心してISMS「いくらISMSへの作業協力をお願いしを取得しても、実はまったく意味がない。

ても、ボトムアップだと結局最後には『わするのは、社員の退社時だという。

冒頭のセキュリティー担当者は、こうも言かったけど、とりあえずそれはそっちでやっ「実際にはもう辞めているのに、企業にっている。

ておいてくれ』で終わってしまうんです。そよってはしばらく前のアカウントを残してお「結局この情報セキュリティーについて

ういう場合は、外部コンサルタントなりをくところもまだあるようですが、その時期がは、『どのリスクまでは許容し、どのリスク呼んできて、まったくの第三者的見地からいちばん危ないんです。外部の端末からはきっちり回避する』
といったコストとのト事の重要性を説いてもらうしかないのかも

そのアカウント経由で内部データを閲覧

レードオフに関する判断を含めて、最終的しれないですね」

して……などというリスクは当然あるわけにはコーポレートガバナンスの問題だと思そのISMSだが、これまでのVer.1.0はです。ですから当社では、退社したらもうっています」それは結局、「経営トップの積

2004 年 9月いっぱいで廃棄され、その後しかし、内部情報漏洩でもっとも警戒

すぐにそのアカウントは削除するようにし極的参加なくして情報リスク対策なし」とはVer.2.0へ移行することが決まっている

ています」
（斉藤氏）

いうことである。

（Ver.2.0はすでに公開済み）。そしてそこ

こうしたISMSに沿ったきめ細かいセキ

しかし、実際にすべての経営者が情報では新たに「経営陣の（ISMSへの）責任、ュリティーマネジメントを運用していくことは、

リスクについてきちんと理解し、効果的運

コミットメント」が明文化されて盛り込まれかなり有効だと斉藤氏は言う。一方で、す用に協力的かというと、そこもまだまだ改ている。認証取得各社の取り組みに注目

べての情報漏洩を100パーセント防げるわ

善の余地があるようだ。別の情報系企業

したい。

けではなく、意図的な内部犯行を防止するのセキュリティー担当者は、ISMSを引きのは、社員の意識しかない、とも言う。

合いに出してこう語る。

そして「情報漏洩はある」という前提に「ひとくちにISMS取得と言っても、取得

社団法人 情報サービス産業協会
http://www.jisa.or.jp/

立ったとき、重要になるのは「余分な情報

後の現実運用と、そもそもこちらが大きかISMSをもたないということと、漏れた情報を追ったりするのですが、入札時に有利な材

http://www.isms.jipdec.or.jp/

跡できるシステムをもつこと」（斉藤氏）
な

料となるなど、ISMSがもたらすメリットに

isms/

株式会社LACの販売する「Living Policy」
は情報セキュリティーポリシーの策定、管理、運用を支援するツール。策定の時間を大幅に短縮するサンプルポリシーも魅力だが、最大の特徴はもちろんオンラインでポリシーを管理し、ユーザーに参照確認を要求したり、ポリシーの内容に関するテストを行ったりできる管理・運用の部分だ。

ISMS認証基準（Ver. 2.0）の第 5章では、「経営陣の責任」として、経営陣のISMS へのコミットメントと、ISMS のための経営資源の運用管理が定義されている。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.09 +++109

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバー
アーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ
番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.