- ISO27001の活用 -情報セキュリティリスクの低減

有限会社オフィスネットワーク

1

はじめに
y 昨今、個人情報の漏えいや情報の改ざん等、企業の情報管理に関する事件・事故をよく耳にします。
y「大変だなぁ・・・」と他人事のように捉えていませんか？
y 管理すべきは、個人情報だけではありません。

システム情報、顧客情報、事業ノウハウ・・・etc.
これらは事業を行う上で不可欠な『資産』です。
y 大切な資産を貴社ではきちんと管理できていますか？
y「資産を管理する」ということは「関連するあらゆるリスクを管理（セキュリティマネジメント）する」ことなのです。
情報セキュリティマネジメントシステムであるISO27001（以下、ISMS）はどのようなものなのか、また取り組むことによってどのようなメリットがあるのかをご説明致します。

2

Copyright ©2010 Office Network Inc.

ISMSの背景 <1>
y IT化の進展に伴う、取扱い情報の重要性が向上
y 不正アクセスやコンピュータウィルス等の攻撃による被害多発
y 内部不正者や外注業者による情報漏えい事件・・・資産を脅かす要因が著しく増加

秘これらの脅威に対して適切にリスク管理を実施し、企業における総合的な情報セキュリティ確保を遂行するためには・・・

技術的なセキュリティ対策の他に、人間系の運用・管理面の要素を取り入れたシステムが必要！

情報セキュリティマネジメントシステム（ISMS）
3

Copyright ©2010 Office Network Inc.

参考：クラウド・コンピューティングに潜む罠
y クラウド・コンピューティングとは、ネットワークに存在するサーバが提供する情報サービスやアプリケーションを、それらのサーバ群を意識せずに利用することができる環境や利用スタイルを言います。

y ユーザーはインターネットに接続さえすれば、即座に各種サービスが利用できるメリットがあります。

注意！！

そのクラウド提供者及びサービスは、本当に信頼できるものですか？
→利用者側からクラウド側の内部を監視することができません。
情報漏えいやデータ改ざん等、内部犯行の可能性を否定できません！
4

Copyright ©2010 Office Network Inc.

参考：ガンブラーの脅威とリスク
y 近年、ガンブラーと呼ばれるウィルスが猛威をふるっており、有名企業や公共機関のウェブサイトの被害が多数報道されています。

1）自組織のウェブサイトが改ざんされる脅威→自組織のサイトに訪れた利用者に対して攻撃者になり、結果としてセキュリティ対策が不十分な組織であるというイメージダウン。

2）利用者から情報が窃取される脅威→改ざんされたウェブサイトを閲覧した利用者がウィルス感染したことで、個人情報等が盗まれてしまう。組織への信頼低下。

3）自組織のネットワークを攻撃される脅威→自組織の重要な情報の窃取や、ネットワークや重要なシステムを利用停止に陥らせる攻撃を受けるリスクがある。業務がストップすると多大なる被害が・・・。

5Copyright ©2010 Office Network Inc.

ISMSの背景 <2> -事故の紹介①y ショッピングのモール出店企業3,169社の企業情報の流出[原因] 業務を委託している企業の社員の私有パソコンから漏えい（Winnyによるもの）

y 名前、住所、電話番号、契約種別等の契約者22,803件の個人情報盗難[原因] 業務中、首からかけていた携帯端末のひったくりによる盗難

y ユーザID、メールアドレス、パスワード、ログファイルの顧客情報295,775件が流出[原因] 共同運営会社の誤操作により、意図しないサーバ上にデータが格納

y 氏名、取引種類、通帳・証書等区分等、約10,000件の顧客情報誤廃棄[原因] 保存期間を過ぎた書類廃棄の際、誤って保存期間の過ぎていない書類が混在■情報漏えい業種別■情報漏えい原因別

期間：2008年上半期 情報ｾｷｭﾘﾃィｲﾝｼﾃﾞﾝﾄに関する調査報告書より（出典：JNSA)

6

Copyright ©2010 Office Network Inc.

参考：個人情報が流出すると・・・
y 企業の損失が億単位になることもあります！

【コンビニのカード会員情報流出事件】
コンビニのカード会員情報（115万人分）が流出した事例では、見舞金として1人あたり500円、総額5億7,500万円が支払われました。
500円×1,150,000人＝575,000,000円【ADSLサービスの個人情報流出事件】
ADSLサービスで個人情報（約451万人分）が流出した事例では、1人あたり500円、総額22億5,500万円の見舞金が支払われました。
500円×4,510,000人＝2,255,000,000円

1人あたりの金額は少なくても、大量の個人情報が流出すると金額は膨れ上がります。
7

Copyright ©2010 Office Network Inc.ISMSの背景<2> -事故の紹介②【事故の分類】
y 外部からの不正行為→フィッシング、ファーミング、ハッカー行為
y 内部からの不正行為→退職者の嫌がらせ、他社への情報提供※情報漏えいの8割は内部犯行と言われています。
y 内部からの操作ミス、処理ミス→送信先や添付ファイルの誤送、施錠忘れ

侵入者

y 偶発的に起こる事故→自然災害、火災等による事故
事故には様々な種類があります。
外部だけでなく、内部やその他の問題にも対応する必要があるのです。
8

Copyright ©2010 Office Network Inc.

ISMSの概要 <1>
y ISMSは個別の問題毎の技術対策の他、組織のマネジメントとして、自らのリスクアセスメント※により必要なセキュリティレベルを決め、プランを持ち、資源配分してシステムを運用します。
※リスクアセスメント：リスク分析からリスク評価までのすべてのプロセス【基本コンセプト】
組織が保護すべき資産について、機密性、完全性、可用性をバランス良く維持し改善すること
機密性認可されていない個人、エンティティ（団体等）又はプロセスに対して情報を使用不可又は非公開にする特性。

完全性資産の正確さ及び完全さを保護する特性。

可用性認可されたエンティティ（団体等）が要求したときに、アクセス及び使用が可能である特性。
(ISO/IEC 13335-1:2004より引用）

9Copyright ©2010 Office Network Inc.

ISMSの概要 <2>
y 以下はISMSの要求事項の構成ですが、ここに注目しましょう。
0. 序文
1. 適用範囲
2. 引用規格3. 用語および定義
4. 情報セキュリティマネジメントシステム
4.1 一般要求事項
4.2 ISMSの確立および運営管理
4.3 文書化による要求事項
5．経営陣の責任
5.1 経営陣のコミットメント
5.2 経営資源の運用管理
6．ISMS内部監査
7．ISMSのマネジメントレビュー
7.1 一般7.2 レビューへのインプット
7.3 レビューからのアウトプット
8．ISMSの改善
8.1 継続的改善
8.2 是正処置
8.3 予防処置★

10

Copyright ©2010 Office Network Inc.

8.3 予防処置（略）
予防処置の優先順位は，リスクアセスメントの結果に基づいて決定しなければならない。
注記 不適合を予防するための処置は，多くの場合，是正処置よりも費用対効果が大きい。
（ISO/IEC 27001：2005より引用）

是正処置よりも予防処置の方が効果がある、ということを言っています。

ISMSの概要 <3>y リスクアセスメントに基づき、以下の管理策を選択して実施します。
Ａ.5. セキュリティ基本方針

1

Ａ.6. 情報セキュリティのための組織

2

Ａ.7. 資産の管理

2

Ａ.8. 人的資源のセキュリティ

3

Ａ.9. 物理的及び環境的セキュリティ

2

Ａ.10. 通信及び運用管理10

Ａ.11. アクセス制御

7

Ａ.12. 情報システムの取得、開発及び保守

6

Ａ.13. 情報セキュリティインシデントの管理

2

Ａ.14. 事業継続管理★

Ａ.15. 法的要求事項の順守

111

ここに注目！

Copyright ©2010 Office Network Inc.

3

39項目の詳細管理策（小分類では133項目）

参考：事業継続管理 <1>
y 他の規格（ISO9001、14001等）の要求にはない事業継続管理の項目がISMSにあります。
y 予防処置が重要だという背景と言えるでしょう。
事業継続管理とは、組織が事業を継続して行う為に、組織にとって致命的なリスクの顕在化の防止や顕在化した場合の復旧計画などを策定し被害を最小化する行為を指します。
y 特に不祥事が発生した時、消費者の安全と信頼回復のために、組織がどのような対応を取るのかによって、事業継続を脅かす事にもなりかねません。
y その場しのぎにならないために先を見通し、相応の準備が必要になります。

12

Copyright ©2010 Office Network Inc.

参考：事業継続管理 <2>【不祥事とその対応の事例】
無認可添加物使用の製品販売事件

13

事実を公認していましたが、公表しませんでした。
結果、その方針を決めた取締役を含む被告11名全員に5億5,800万円の損害賠償の判決が下されました。

食肉偽装表示事件

購入客へ返金する旨の店頭告示をしましたが、記者会見の直後、返金を求める客の殺到により事件の舞台となった店舗が一時閉鎖になる異常事態となりました。

石油暖房機事故

CMやウェブサイトによる積極的な広報活動を実施しました。死亡者を出す深刻な事態にもかかわらず、業績及びブランドへの影響を軽減に止めています。

Copyright ©2010 Office Network Inc.

参考：事業継続管理 <2>y 事故や事件をゼロにするのは難しい問題です。だからこそ、起こってしまった後のリカバリーが重要なのです。
y 問われるべきは「これまでの対応とこれからの対策」です。
y 「組織として万全を尽くした上での避けられない事故だった」こと、更に対策強化が評価されてこそ、消費者の信頼回復に繋がるのです。
y ISMSは、事業継続計画策定の枠組みが設けられています。

情報セキュリティを組み込んだ事業継続計画の策定及び実施（A.14.1.3）
重要な業務プロセスの中断又は不具合発生の後，運用を維持又は復旧するために，また，要求されたレベル及び時間内での情報の可用性を確実にするために，計画を策定し，実施しなければならない。

14Copyright ©2010 Office Network Inc.

ISMSのポイント <1>
y 情報セキュリティ向上の最も重要なポイントは、人的セキュリティの向上（教育）です。
y 最先端のIT技術を駆使し、事業を行うのは全て「人」です。
y 先に紹介した事故・事例は、人によるものです。
y 信頼関係のある組織ほど、内部の情報セキュリティ事故は少ないと言えるでしょう。
y 経営者は、組織の情報セキュリティ方針を明文化させ、仕事に従事する人に徹底的に教育する必要があります。
【情報セキュリティ向上の重要課題】①教育による人的セキュリティ向上②情報システムや回線等の技術的セキュリティ向上③鍵管理、出退勤管理等の物理的セキュリティ向上
15

Copyright ©2010 Office Network Inc.

ISMSのポイント <2>
y 情報セキュリティの脆弱性を探って問題点を解決する仕組みです。
PCをつけたままで離席している人

安倍安田

矢口安倍安田

尾形
大木
尾形

杉並
坂上

緒方

永末
岸

三村
長谷川
中山
森池

2.00

安伊所
若山
西村

高橋
高木
大下
松井
西村

早瀬所

杉本

高木

若山

坂下

緒方

大木

坂下

岡田

三津田

三越

大橋平

杉本

奥貫平

大橋

三越

早瀬

井上上杉大橋

松井

吉永

大下

Ａ
Ｂ
Ｃ

松下

高木

冷蔵庫

安伊

IPアドレス
デフォルトGW
192.168.1.254/24－
192.168.2.254/24－
192.168.1.1/24 192.168.1.254
192.168.1.2/24 192.168.1.254
192.168.2.1/24 192.168.2.254

ルータ

高杉

高橋

長距離回線
広島支社

井上

南

永末 三津田 奥貫

高木

岸

佐々木

東京本社

社内ＬＡＮ

矢口

小久保

ラップトップ

社内ＬＡＮ

南

本棚

高木

小久保

佐々木

松永

本棚

松永

本棚

コーヒー 冷蔵庫

はいませんか？

上杉

杉並
コーヒー

吉永
高杉
大橋
本棚
本棚

松下
森池
中山
本棚
本棚

長谷川 三村
岡田
本棚
本棚

坂上
共用Mac

共用Mac

共用Mac

HTTP
プロキシサーバ

DNSサーバアプリケーション
プロキシサーバ

松永

共用Mac

作業テーブル

本棚

メールリレー
サーバ

流し台

共用Mac

共用Mac

小久保

10.1.1.255

佐々木高木

10.1.1.255部門メールサーバ

DHCPサーバ

ディストリビューション
スイッチ

社内DNSサーバ

10.1.1.255
10.1.1.255

スイッチングハブ

岸杉並

10.1.1.255

10.1.1.255

10.1.1.255

坂上

10.1.1.255

10.1.1.255

スイッチングハブ
プリンタサーバ

ホスト

パスワードはきちんと 割り当てられていますか？
16

緒方

10.1.1.255

10.1.1.255

10.1.1.255

永末

三村
長谷川
中山

10.1.1.255

森池

安伊
所
若山
西村

10.1.1.255

10.1.1.255

三津田

ハブ

10.1.1.255

奥貫

ハブ

ハブ

10.1.1.255

井上ハブ

10.1.1.255

岡田

ハブ
松井

ハブ

10.1.1.255

10.1.1.255

10.1.1.255

三越

ファイヤウォール

10.1.1.255

10.1.1.255

10.1.1.255

平

10.1.1.255

大橋

10.1.1.255

無停電電源装置

ルータ

10.1.1.255

10.1.1.255

大橋

10.1.1.255

10.1.1.255

10.1.1.255

大橋

10.1.1.255

大下専用線

高木

外部のルータ10.1.1.255

上杉

10.1.1.255

松下

高橋

ルータ

大木

リピータハブ

スイッチングハブ

尾形

スイッチングハブ

部内サーバInternet

Copyright ©2010 Office Network Inc.

WINSサーバ

プリンタ

バックアップ媒体は、どこに保管されていますか？

ISMS運用のポイント <1>
y ISMSは、組織が決めた方針の下に計画、運用、監視、見直し、維持、改善を繰り返します。
y PDCAサイクルの特にC（監視・監督）とA（見直し）が重要です。
y 分析を十分に行い、原因対策をしっかりした上で処置をすることに意味があります。
※IT産業は製造業と異なり、事故が顕在化しにくい傾向があります。
可能な限り、顕在化することが重要です。
【ISO27001:2005のＰＤＣＡサイクル】

継続的改善（セキュリティ水準の向上）
Ｄｏ：実施及び運用
Ｐｌａｎ：セキュリティポリシー／計画ＰＤＣＡサイクル★Ａｃｔｉｏｎ：代表者による見直し
17

Copyright ©2010 Office Network Inc.

★Ｃｈｅｃｋ：監視・監査

ISMS運用のポイント <2>
y それぞれ役割と責任があり、必要な教育があります。
・情報セキュリティ基本方針の制定

経営者

・情報処理設備に対する許可プロセスの制定・実施部署の責任者
従業員（経営者）
・関連する部署の情報セキュリティ調整

契約会社

第三者の利用者（部署の責任者）
・情報セキュリティ基本方針の教育
・自らの責任の理解・情報セキュリティに関する雇用契約
・情報セキュリティの脅威及び諸問題、並びに責任及び義務に対する認識（従業員、契約会社、第三者の利用者）

18

Copyright ©2010 Office Network Inc.

ISMS構築・運用のメリット
y 技術面及び人間系の運用・管理面の総合的なセキュリティ対策の実現

・社員のスキル向上
・責任の明確化
・緊急事態の対処能力の向上等
y 総合的マネジメントの視点から、効率的なセキュリティ対策の実現

・費用対効果を考えた資産管理・リスクマネジメントの定着等＊上記の活動を継続することにより、セキュリティ意識の向上等の効果が期待されます。（JIPDEC HPより引用）

19Copyright ©2010 Office Network Inc.

まとめy ISMSは、リスクマネジメントのツールです。
y すなわち、事業を継続する上で欠かせない予防処置と言えます。

事後処理では、取り返しのつかないことになる危険性が高いのです。
y 組織によって、対応できるリスク対策は異なります。自組織にとって、リスクとは何かを明確化させ、リスク発生の要因を洗い出し、対策と効果を認識しましょう。それに基づき、ISMSを確立させます。
身の丈に合ったシステムを構築することがポイントです。
y 情報セキュリティ向上の最も重要なポイントは、人的セキュリティの向上です。教育が全ての基本となります。

20

Copyright ©2010 Office Network Inc.

参考：ISMS構築から取得までの工数
事務局工数（事務局として業務の1/2を準備にあてる計算）
ステップ

事務局（人・日）

月稼働日

月数

日

調査

0.5

221

11

構築

0.5

223

33

運用

0.5

22444

審査対応

0.5

222

2210110

合計
部門メンバー工数（4部門で各１名が業務の1/4を準備にあてる計算）
ステップ

事務局（人・日）

月稼働日

月数日

調査

0.25*422122

構築

0.25*422366

運用

0.25*422488

審査対応

0.25*42224410220

合計
総合計
21330

＊ 従業員は、50人～100人程度を想定しています。
Copyright ©2010 Office Network Inc.

【Memo】

22Copyright ©2010 Office Network Inc.