情報セキュリティ教本

情報セキュリティに関わる責任者、担当者に向けて、情報セキュリティの組織と体制づくりから展開し、セキュリティポリシーのつくり方、情報の管理、リスクマネジメント、技術的対策の基本、導入と運用のポイント、脆弱性検査、セキュリティ評価などの基本的な事項をわかりやすく解説しているまさに情報セキュリティ対策の「教科書」、「ハンドブック」として最適な本を紹介します。

本書：「情報セキュリティ教本」です。

「組織の情報セキュリティ対策実践の手引き」ならびに「Handbook for CISO and information Security Proffesionals」との副題が付いています。

本書は、独立行政法人　情報処理推進機構（IPA)　による著作ならびに土居範久先生の監修にて2007年4月に実教出版株式会社より発行されています。

本書は、2007-02-15のこちらのブログでも紹介した「情報セキュリティ読本」の姉妹本になります。

本書の帯には、以下のように書かれてあります。

「官・民の英知を集大成した

情報セキュリティガイドの決定版

企業、学校、行政機関、各種団体等の情報セキュリティ
対策の担当者、責任者の方を対象に、組織の情報セキュ
リティ対策を具体的に、分かりたすく解説しました。

情報セキュリティに関わる主要な基準・対策を網羅し
ました。

情報セキュリティ担当者、責任者のテキストとして、また
ハンドブックとして最適です。

また「情報セキュリティ教本の発刊によせて」のなかで、監修者は、情報セキュリティ対策と本書の考え方について以下のように述べています。

「誰もが感じていると思うが、どんな組織でも情報セキュリティ対策の実施は本当に難しい。なぜこれほど難しいのか。答は簡単だ。情報セキュリティ対策では、かなり複雑な問題を合理的に解く必要があるからだ。

（略）

しかし、情報セキュリティ対策が難しいといっても、もはや逃げ出すことはできない。基盤化した情報システムを何もせずに放置することは許されない状況にある。私たちは、組織として情報セキュリティ対策の実施能力を高める必要がある。それには一体何をしたらよいのだろうか。

一つ目は、事実に真正面から向き合う勇気を持つことだ。具体的には、情報システムを取り巻く状況を的確に理解することである。これは一般にリスクアセスメントの実施、情報資産の棚卸し、ユーザとシステムの把握などを通して行われる。

（略）

二つ目には、良いものを学び、良さを吟味する力を持つことだ。情報セキュリティ対策では、組織ごとに組織に合わせた形で設計、実装することが求められる。

（略）

三つ目が、創意工夫に溢れた対策を徹底して考えることだ。情報セキュリティ対策を実施していくと、対策自身を目的化してしまい、過度に規制するような対策を実施してしまうことがよく見られる。

（略）

組織として情報セキュリティ対策をどのように行えばよいかを、Ｐｌａｎ－Ｄｏ－Ｃｈｅｃｋ－ＡｃｔというＰＤＣＡサイクルに沿って、さまざまな事例を交えながら、具体的にわかりやすく解説する。」

本書の説明は、PDCAサイクルに沿って進んでいく構成となっています。本書で取り上げられている情報セキュリティの管理策は、基本的には、政府機関統一基準をベースとし、加えて、ISO/IEC27000シリーズ等の国際標準やその他のガイドライン、IPAのホームページ上に数多く掲載されている対策実践情報などをも参照した内容となっています。さらに法令順守の観点からどのようなセキュリティ対策を行なえば良いかという点にも触れています。

本書は、12章から構成されています。

1章では、「はじめに」
として、ＩＴ社会の中で種々の脅威が増大し、情報セキュリティの取組みが重要になっていること、情報セキュリティに関するガイドラインや基準を外観し、本書の使い方を提示し、緊急事態発生！として4つの情報漏洩等の事例（フィクション）が紹介され、情報セキュリティの基本的な考え方（3要素）から情報セキュリティマネジメントシステム（ISMS）とPDCAサイクルなどが解説されます。

2章では、「情報セキュリティの組織」
として情報セキュリティの組織と体制づくりについてそのポイントや経営者の役割、推進体制、違反と例外処置などが解説されています。

3章では、「情報セキュリティポリシーのつくり方」
として、情報セキュリティポリシーに関する文書類の基本方針（ポリシー）、対策基準（スタンダード）、実施手順（プロシージャー）、ガイドラインと実施手順などの解説に続き、情報セキュリティ基本方針、情報セキュリティ対策基準、情報セキュリティ実施手順についての詳細な策定要領を解説し、最後に情報セキュリティポリシー策定のポイントについて総括しています。

4章では、「情報の分類と管理」
として、情報資産の洗い出しと管理責任者の決定について情報資産の洗い出しの手順、情報資産のグループ分け、情報資産管理台帳、、情報の管理責任者などを解説し、情報資産の分類と格付け、情報のライフサイクルとその取扱い(情報の管理)について詳細に解説しています。最後に情報の分類と管理のポイントをまとめています。

5章では、「リスクマネジメント」
としてJISQ13335-1:2006による情報セキュリティにおけるリスクの定義、さらにJIS TR Q0008:2003のリスクマネジメント用語の解説、JISQ2001:2001のリスクマネジメントシステムの概念などが解説され、上記の規格に加え、GMITS（JIS TR X 0036）、、MICTS、ISO27000シリーズなどの関連規格に触れています。次いでリスクアセスメントに関して、情報資産価値の評価、脅威(threat)、脆弱性(vulnerability)、リスクの算定、リスク評価について解説し、GMITSに見るリスク分析手法、リスク対応（リスクの低減(適切な管理策の採用)、リスクの保有、リスクの回避、リスクの移転、リスクの受容、リスクコミュニケーション、リスクマネジメントの記録）、ISMSユーザーズガイドならびに政府機関統一基準ばらびにNISTガイドラインによるリスクマネジメントの例が解説されます。最後にリスクマネジメントのポイントをまとめています。

6章では、「技術的対策の基本」
として、「主体認証」、「アクセス制御」、「権限管理」、「証跡管理(ログの管理)」、「暗号と電子署名」、「パソコン上のデータ保護」、「セキュリティホール対策(脆弱性対策)」、「不正プログラム対策」、「サービス不能攻撃対策(DoS/DDoS攻撃対策)」について政府機関統一基準第4部に基づく管理策をベースとして解説されています。

7章では、「セキュリティ製品とセキュリティサービス」
として、情報セキュリティ対策を進める上で、代表的なセキュリティ製品やセキュリティサービスについて解説しています。
『ネットワークセキュリティ製品』では、
ファイアウォール、WAF(Webアプリケーションファイアウォール)、IDS(侵入検知システム)とIPS(侵入防止システム)、VPN(Virtual Private Network)、検疫システムについて、
『認証製品』では、
PKI関連製品、認証サーバ、ワンタイムパスワード、ICカード／スマートカード、バイオメトリック認証(Biometric Authentication)、シングルサインオン(Single Sign-On)について、
『データセキュリティ関連製品』では、情報漏えい防止ソリューション、メールセキュリティ、
『ウイルスなどの不正プログラム、スパム、フィッシングﾞ対策』では、
ウイルス対策ソフトウェア、スパイウェア対策ソフトウェア、スパムフィルタリングソフトウェア、フィッシング対策ソフトウェアについて
『その他』では、
UTM(Unified Threat Management:統合脅威管理)、コンテンツフィルタリングソフトウェア、完全性チェックツール、フォレンジックツールについて、
『セキュリティサービス』では、
コンサルティングサービス、セキュリティ教育など、セキュリティ監視、検知、運用管理サービス、電子認証サービス、タイムスタンプサービスについて解説されています。

8章では、「導入と運用」
として、情報セキュリティポリシーの周知と徹底、従業員の管理と外部委託先の管理、事業継続管理、緊急時対応、インシデント対応、情報システムの導入と運用など情報セキュリティシステムの導入と運用のポイントについて解説されています。

9章では、「セキュリティ監視と侵入検知」
として、情報システムに対する不正な行為や不正アクセスを促す、情報システムに存在するセキュリティ上の問題点を明らかにする手法として、セキュリティ監視、脆弱性検査、侵入検知の概要とそのポイントが解説されています。

10章では、「セキュリティ評価」
として、ISMSの適合性評価、情報セキュリティ監査、情報セキュリティ対策ベンチマーク、ＩＴセキュリティ評価及び認証などのセキュリティ評価についてその概要ならびに実施方法等について解説しています。

11章では、「見直しと改善」
として、定期的な見直し、環境の変化に伴う見直し、セキュリティ事件・事故の発生に伴う見直しについての手順の概要とそのポイントについて解説しています。

12章では、「法令遵守」
として、情報化関連法令集のサイトを紹介し、刑法、著作権法、不正アクセス禁止法、個人情報の保護に関する法律(個人情報保護法)、不正競争防止法、e-文書法などの概要について解説しています。