情報セキュリティの管理[ITパスポート講座]

2020年2月9日2024年11月25日

今回はITパスポートのセキュリティ管理に関して学習していきます。

くろん

攻撃手法もわかったし、その対策技術も学んだからセキュリティはこれで完璧にゃー！

モナ

システムを整えても最後はその利用者がしっかりと管理しないとだめだニャ！最後にセキュリティの管理についても学んでいくニャ！

1. セキュリティ管理(マネジメント)
2. 情報セキュリティ管理・例題
- 2.1. 問題
- 2.2. 解説(クリックで展開)
3. 情報セキュリティ管理・まとめ

セキュリティ管理(マネジメント)

情報セキュリティには技術の面だけでなくシステムを利用する側の管理も重要になってきます。

どんなにアンチウイルスソフトを入れたり最新のファイアウォール機器を導入してもそれですら対応できない新型のウイルスや新しい攻撃も日々生み出されています。

キュー

まさに鼬(いたち)ごっこやな

そうなってくると最後の砦は人です。仕事を行う上でのセキュリティに関する方針をはっきりさせながら、継続的に改善しリスクを減らすことが重要ですね。

セキュリティ3大要素

情報セキュリティは3つの要素(CIA)から成り立っていると言われています。CIAは

Confidentiality・・・機密性
Integrity・・・完全性
Availability・・・可用性

の頭文字となっています。それぞれ見ていきましょう。

C：機密性

情報を不正アクセスから守り、漏洩や改ざんなどが行われないようにすることを機密性(Confidentiality)と言います。

アクセスを許可された人間だけが情報を利用できるように設定する必要があります。

I：完全性

情報に矛盾がなく内容が正確であることを完全性(Integrity)と言います。改ざんなどが発生し、従来通りのサービスが利用できない場合、完全性が脅かされたことになります。

情報の内容に欠落や改ざんが発生しないように整合性が取れる状態を維持する必要があります。

A：可用性

情報システムを利用したいときに利用できることを可用性(Availability)と言います。

サーバがダウンしてしまった、データを不正に削除されてしまった等の理由でシステムそのものが利用できないと可用性が損なわれたことになります。

システムを二重化して冗長化する、データが消えたり改ざんされても問題ないようにバックアップするなどによって外部からの攻撃や障害に備えておく必要があります。

キュー

セキュリティ3大要素はこれら機密性・完全性・可用性の英語の頭文字をとってCIAって言うんや

情報セキュリティポリシ

この職場では、情報セキュリティに関してこのような方針で進めていく、と宣言するのが情報セキュリティポリシになります。

組織の経営者が最終的な責任者となり、情報セキュリティの目標およびそれを達成するための企業が取るべき行動内容を宣言する文章になります。

基本方針・・・情報セキュリティ対策における根本的な考え方や取り組み姿勢の事です。
対策基準・・・情報セキュリティを確保するために遵守すべき基準の事です。
実施手順・・・個別の具体的なマニュアルなどを指します。

ISMS

組織における情報セキュリティを管理するための仕組みのことをISMS(Information Security Management System)と呼びます。

セキュリティポリシに従い、PDCAサイクルを回しながら継続的に改善しておく必要があります。

くろん

ぴーでぃーしーえー？

キュー

せや、セキュリティ分野以外でも頻出やからしっかりと押さえて置こう

PLAN・・・この段階では目標や計画の設定を立てます。
DO・・・導入や運用を行い実際に結果を測定します。
CHECK・・・得られた結果から見直しを行います。
ACT・・・CHECKで見直した改善策を施策したり、問題がないなら維持できる取り組みを行います。

リスクマネジメント

情報セキュリティに関するリスクは至るところに点在しています。情報の漏洩、改ざん、不正利用らは全てリスクであり、企業や組織に被害が発生するすべての可能性を指しています。

キュー

余談やけど、前までは良くないことが起こる可能性=リスクやったけど、最近では良いことが起こる可能性もリスクとして考えることもあるで

リスクマネジメントには以下の

リスク特定
リスク分析
リスク評価
リスク対応

の4つのステップを踏む必要があります。

リスク特定

最初に、どのようなリスクが点在しているのかを全て列挙します。

思いつく限りをあげる必要があるので該当者達によるブレーンストーミング等で意見を出し合うことが大切です。

リスク分析

次に、列挙したリスクを一つ一つ分析し重要さを判断していきます。

具体的にはリスクが顕在化した場合の「被害の甚大さ」と「発生確率」を特定し数値化、それぞれ掛け合わせて判断していくことになります。

リスク	被害の甚大さ	発生確率	積
A	5	1	5
B	4	3	12
C	3	5	15

キュー

表の例やったらリスクCが最初に対応するべきリスクってことになるな

リスク評価

分析されたリスクを所定のリスク基準と比較し、優先順位を決定します。

上記の例であれば「被害の甚大さ」をx軸に、「発生確率」をy軸にプロットしていきます。

これによって誰が見ても一目でどのリスクが重大で優先して対処するべきか分かるようになります。

リスク対応

発生したリスクに関しては対応していく必要がありますが、さらに具体的な4つの方法に分かれます。

リスク回避

損失が大きく、発生率が高いリスクに関してはリスク自体が発生しないようにする必要があります。

該当するリスクを廃棄したり業務を停止する必要があります。

リスク転移

損失が大きく、発生率が低いリスクに対してはリスクを他者に肩代わりさせることで対応します。

具体的には保険をかけたり、リスク業務をメインで行っている業者にアウトソーシングするなどが挙げられます。

リスク低減

損失額が小さく、発生率が高いリスクに関してはリスクによる損失を許容できる範囲まで軽減させることで対応します。

リスク受容

損失額が小さく、発生確率が低いリスクに関しては対策をせずそのまま放置する方が費用を抑えられることもあります。

キュー

分かりやすくまとめると以下のような表になるな

		損失額
		大	小
発生確率	高	リスク回避	リスク低減
発生確率	低	リスク転移	リスク受容

情報セキュリティ管理における重要語句

以下は試験でも良く問われる語句です。あわせて押さえておきましょう。

CSIRT(Computer Security Incident Response Team)・・・シーサートとも呼ばれ、コンピュータセキュリティインシデントに関する報告を受取り調査し、対応する組織の総称です。
JVN(Japan Vulnerability Notes)・・・日本国内で用いられているソフトウェア等の脆弱性関連情報とその対策を資料化してまとめているポータルサイトになります。気になる方は一度覗いてみてください。JVN
アクセス権・・・ユーザ毎に与えられた権限で、ネットワークやファイルにアクセス可能となります。