| 用語 | ひとことで | 種類 | 手がかり |
|---|---|---|---|
| 情報セキュリティポリシー | 情報の守り方を定めた文書の体系 | 文書の束 | 基本方針から実施手順へ具体化 |
| 情報セキュリティ方針 | ポリシーの頂点にある、取り組みの姿勢を示す文書 | 最上位の文書 | 経営トップが確立 |
| 継続的改善 | PDCA を回し続けて管理を良くすること | 運用の考え方 | P 計画 D 実行 C 点検 A 処置 |
| 情報セキュリティインシデント | 安全を損なう可能性が高いと評価された出来事 | 出来事 | 報告してから評価して分類 |
| 安全管理措置 | 個人データを守るために事業者が講じる対策 | 個人データの対策 | 組織的 人的 物理的 技術的 |
| サイバー保険 | サイバー被害の損失を保険金で補う保険 | リスク対応の手段 | リスク共有 (移転) |
| プライバシーポリシー | 個人情報の扱い方を定めて公表する文書 | 公表する文書 | 個人情報保護方針 |
| リスクコミュニケーション | リスクの情報と認識を関係者と双方向に共有すること | 関係者との活動 | 双方向 |
情報セキュリティポリシーは、組織が情報資産をどう守るかについて、考え方と守るべき決まりをまとめた文書の体系である。
一般に、最上位の基本方針 (情報セキュリティ方針)、それを具体的な規則にした対策基準、現場の作業の進め方を書いた実施手順の 3 層で組み立てる。上の文書ほど抽象的で、下の文書は上の文書を基にして作られる。なお、基本方針と対策基準までをポリシーと呼び、実施手順を含めない数え方もある。
たとえ国の法体系に似ている。憲法にあたる基本方針の下に法律にあたる対策基準があり、さらに細かな規則にあたる実施手順が続く。
出題のポイント
情報セキュリティ方針は、情報セキュリティに取り組む組織の姿勢と目指す方向を経営トップが示す、ポリシーの最上位の文書である。
情報セキュリティ基本方針とも呼ばれ、ISMS (情報セキュリティを組織として継続的に管理する仕組み) では経営トップ (トップマネジメント) が確立する。自社の事業や扱う情報の特徴をふまえて作るので、他社の文面を写して済ませるものではない。
たとえ学校の校訓のようなもの。何を大切にするかを掲げるが、時間割や掃除当番の決め方までは書かない。
覚え方「方針」の「針」は羅針盤の針。進む向きを指すだけで、舵の切り方までは示さない。
出題のポイント
| 観点 | 情報セキュリティポリシー | 情報セキュリティ方針 |
|---|---|---|
| 決め手指すもの | 基本方針から実施手順までの文書の束 | その束の頂点にある 1 つの文書 |
| 定める人 | 層ごとに異なり、下位の基準や手順は担当部門も作る | 経営トップが確立する |
| 詳しさ | 下の層ほど具体的になる | 姿勢と方向だけを示す |
継続的改善は、管理の仕組みを一度作って終わりにせず、計画・実行・点検・処置の PDCA サイクルを繰り返して少しずつ良くしていくことである。
A: 見つかった問題の是正策を決め、次の P へつなぐ。
PDCA は Plan (計画)・Do (実行)・Check (点検)・Act (処置) の頭文字で、Act で決めた直し方を次の Plan に反映して輪を回し続ける。ISMS はこの考え方を土台にしており、経営層を頂点に組織全体で取り組む。回すたびに、新しい脅威や業務の変化に合わせて対策の中身が更新される。
たとえ部活動の練習試合に似ている。作戦を立て、試合をし、録画で振り返り、練習の仕方を直す流れを毎回繰り返す。
出題のポイント
情報セキュリティインシデントは、情報の安全を脅かす出来事 (情報セキュリティ事象) のうち、事業や情報の安全を損なう可能性が高いと評価されたものである。
原因と対応の記録をもとに、対策や手順を見直す。
情報の漏えい、マルウェア感染、不正アクセス、障害によるサービス停止などが代表例である。対応で得た知見は、同じ被害を繰り返さないよう対策の強化に生かす。
たとえ救急外来のトリアージに似ている。運ばれてきた患者を診て、緊急度を判断する。
出題のポイント
安全管理措置は、個人情報保護法に基づき、事業者が個人データの漏えいや紛失などを防ぐために講じる対策である。
| 区分 | 対策の例 |
|---|---|
| 組織的 | 責任者と体制を決め、取扱いの規程を整える |
| 人的 | 従業者に教育を行い、守秘の誓約を交わす |
| 物理的 | 入退室を管理し、書類や記録媒体を施錠して保管する |
| 技術的 | アクセス権を設定し、通信や保存データを暗号化する |
ガイドラインでは代表的に、体制や規程を整える組織的、従業者を教育し監督する人的、場所や媒体を守る物理的、システムの仕組みで守る技術的の 4 区分で整理される。個人データの扱いを外部に委託した場合も、委託元は委託先がきちんと守っているかを監督する。
たとえ銀行の貸金庫にたとえると、利用の規則、係員の研修、金庫室の扉、暗証番号の 4 方向から預かり物を守る形になる。
覚え方4 区分は「組・人・物・技」。誰が決め、誰が扱い、どこに置き、何で守るかの順に並ぶ。
出題のポイント
サイバー保険は、サイバー攻撃や情報漏えいで生じた損害や対応の費用を、保険金で補う保険である。
対策をしても残るリスクが現実になったときの金銭の負担を、保険会社と分け合う手段である。リスク対応を回避・低減・共有・保有に分けると、リスク共有 (リスク移転とも呼ぶ) にあたる。
たとえ自動車保険と同じで、事故が起きた後の修理代や賠償の支払いを保険金で補ってもらう。
覚え方保険の「険」は危険の「険」。危険そのものは手元に残り、お金の重さだけを外へ出す。
出題のポイント
プライバシーポリシーは、組織が個人情報をどう集め、何に使い、どう守るかの考え方を定めて公表する文書である。
日本語では個人情報保護方針とも呼ばれ、Web サイトなどで利用者が読めるように掲げる。利用目的や第三者への提供の扱い、問い合わせや開示請求の窓口などを示す。
たとえ会員カードの申込書の裏に書かれた、預かった情報の使い道とお店の約束のようなもの。
覚え方privacy は private (私的な) の名詞形。会社の秘密ではなく、その人だけのことを扱うポリシーと読める。
出題のポイント
| 観点 | 情報セキュリティポリシー | プライバシーポリシー |
|---|---|---|
| 決め手守る対象 | 組織の情報資産全般 | 利用者や顧客の個人情報 |
| 主な読み手 | 組織で働く人と関係者 | サービスの利用者など、個人情報を預ける人 |
| 公開 | 基本方針は公表するが、下位の基準や手順は社内向け | Web サイトなどで公表する |
リスクコミュニケーションは、リスクについての情報や受け止め方を、組織の内外の関係者と双方向にやり取りして共有することである。
経営層、従業員、顧客、取引先など、立場によってリスクの感じ方は違うので、意見を交わして認識の差を埋める。リスクの特定から対応まで、リスクマネジメントのどの段階でも行う。
たとえ地域の防災会議に似ている。役所の説明を聞くだけでなく、住民も危ない場所や不安を出し合う。
覚え方コミュニケーションはラテン語の communis (共通の) に由来する。リスクを関係者の「共通のもの」にする活動と読める。
出題のポイント
この単元の過去問から 5 題
確認問題を解く