ISO27001
ISO27001に関するページです。ISO27001に関する本や情報を新着順に紹介しています。
ISO27001
サイトの検索はこちらで！
情報セキュリティ白書2008
「情報セキュリティが扱う対象やその環境は変化してきています。コンピュータ・ウイルスによる攻撃は、技術的に洗練されてきているだけでなく、ユーザー心理を巧みにつく手法も用いられるなど従来より格段に悪質になっています。（略）、脅威が見えないこと自体が脅威になっています。
このため、情報セキュリティ対策には質的な変化が求められます。ウイルス攻撃を仕掛ける相手の行動を理解し、予見するための積極的な対策を講じることが重要です。我々自身の弱点も正確に把握する必要があります。
その上で、情報処理システムやネットワーク社会が抱えているリスクを分析し、プロアクティブな対策をくみ、これを確実に実行していくことが必要になります。その対策は、守るべき資産とコストの観点から合理的でなければなりません。」
少し長い引用となりましたが、情報セキュリティに対する本質を付いていると思います。これは、本書の「刊行にあたって」の独立行政法人 情報処理機構（IPA）の西垣 浩司 理事長の言葉です。
本日は、情報処理推進機構（IPA）の情報セキュリティに関する年次報告書で、情報セキュリティについて、コンピュータウイルス・不正アクセス・脆弱性など情報セキュリティに関する最新の報告をもとに、その脅威・動向・対策を具体的に解説している本を紹介します。
情報セキュリティの動向と展望について、利用者、供給者、制度・人材といった観点から概観すると共に、主要なテーマについて解説しています。
また巻末には、情報セキュリティに関する用語集ならびに参考文献がその文献のURLと共に添付されています。
本書：「情報セキュリティ白書 2008」です。
「脅威が見えない脅威−求められるプロアクティブな対策」との副題が付いています。
本書は、著者：独立行政法人 情報処理推進機構（IPA）にて、2008年6月に実教出版 より発行されています。
本書は、第�吃堯А崗霾鵐札�ュリティの動向と展望」ならびに第�局堯А�2007年の10大脅威」及び付録資料編とから構成されています。
カラフルな図表類が多数、挿入されています。また関連する資料等の情報について、その入手先のURLが多数紹介されています。
これらは、ISO/IEC 27001：2005（JIS Q 27001：2006：「情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−要求事項」の5.2.2項の「教育・訓練，意識向上及び力量」に関係する資料として活用できるかと思われます。
第�吃瑤任蓮◆崗霾鵐札�ュリティの動向と展望」
として、
第１章の「総論」においては、
第１節：「利用者側の動向と展望」において、一般利用者、企業ユーザー、政府、政府系機関、学校・医療等の公共機関等のＩＴの利用主体者側で共通する情報セキュリティの動向ならびに今後の展望を解説しています。（世界及び我が国でのウイルス被害の現状から、これから求められる緊急対応能力までを解説しています。）
第２節：「供給者側の動向と展望」において、ＩＴ市場に関わるハードウェア、ソフトウェア、サービスなどを提供する供給者にとっての情報セキュリティの動向ならびに今後の展望を解説しています。（情報セキュリティの技術的側面と標準化活動から、委託業務構造における『セキュリティ対策の取組』までを解説しています。）
第３節：「制度及び人的な基盤の動向と展望」において、制度や人的な基盤と情報セキュリティとの関わりについての動向と展望を解説しています。（金融証券取引法、会社法、個人情報保護法、電子記録債権法などから新たな法制度の動向、さらには情報セキュリティ人材の育成に関する動向まで法的・制度的な基盤の動向と展望を解説しています。
第２章の「個別テーマ」においては、
今後重要な課題になりつつある以下の3つのテーマを取り上げその課題と対策について詳論しています。第１節：「IT社会を支える基盤としてのアイデンティティ管理」／第２節：「暗号の安心性低下によるシステム移行立案にあたっての問題」／第３節：「組込みシステムのセキュリティ」
第�局瑤任蓮◆�2007年の10大脅威」
として、「情報セキュリティ検討会」で2007年度において印象が強く、社会的影響も大きかったものとして、選定された以下の10大脅威を取り上げ、その概要から対策までを解説しています。さらに関連資料としてURLが紹介されています。
【１位】高まる「誘導型」攻撃の脅威
【２位】ウェブサイトを狙った攻撃の広まり
【３位】恒常化する情報漏えい
【４位】巧妙化する標的型攻撃
【５位】信用できなくなった正規サイト
【６位】検知されにくいボット、潜在化するコンピュータウイルス
【７位】検索エンジンからマルウェア配信サイトに誘導
【８位】国内製品の脆弱性が頻発
【９位】減らないスパムメール
【10位】組み込み製品の脆弱性の増加
この内容は、独立行政法人の情報処理機構（IPA）のサイトでPDFファイルが公開されています。（なおPDFファイルの閲覧には、Adobe Readerなどが必要です。）
また付録資料編では、付録A：「2007年のコンピューターウイルス届出状況」から 付録F：「組織の情報セキュリティ対策自己診断テスト−情報セキュリティ対策ベンチマーク−」までの資料が添付されています。
本書は、情報セキュリティに関心がある個人から経営者、管理者、担当者といった多くのビジネスパースンに是非、読んで頂きたい一冊です。
なお本書の目次は、以下の内容です。
第�吃堯‐霾鵐札�ュリティの動向と展望
第１章 総論
第１節 利用者側の動向と展望
第２節 供給者側の動向と展望
第３節 制度及び人的な基盤の動向と展望
第２章 個別テーマ
第１節 IT社会を支える基盤としてのアイデンティティ管理
第２節 暗号の安心性低下によるシステム移行立案にあたっての問題
第３節 組込みシステムのセキュリティ
第�局堯�2007年の10大脅威
【１位】高まる「誘導型」攻撃の脅威
【２位】ウェブサイトを狙った攻撃の広まり
【３位】恒常化する情報漏えい
【４位】巧妙化する標的型攻撃
【５位】信用できなくなった正規サイト
【６位】検知されにくいボット、潜在化するコンピュータウイルス
【７位】検索エンジンからマルウェア配信サイトに誘導
【８位】国内製品の脆弱性が頻発
【９位】減らないスパムメール
【10位】組み込み製品の脆弱性の増加
付録資料編
付録A 2007年のコンピューターウイルス届出状況
付録B 2007年のコンピューター不正アクセス届出状況
付録C 2007年のソフトウェア等の脆弱性関連情報に関する届出状況
付録D 国内における情報セキュリティ事象被害状況調査
付録E 情報セキュリティに関する脅威に対する意識調査
付録F 組織の情報セキュリティ対策自己診断テスト（情報セキュリティ対策ベンチマーク−）
用語集
参考文献
（広告）
ISO27001でひもとく 情報セキュリティマネジメントシステム
情報セキュリティマネジメントシステム（ISMS）の第三者認証のための国際規格のISO27001が制定・発行されたことと共に、ここ最近、ISO27001認証を取得する企業が激増してきています。
日本情報処理開発協会（JIPDEC）のデータによると我が国の2008年5月9日現在のISMS認証取得組織は、2653 組織とのことです。 （一方、プライバシーマークの付与を認定された事業者数は、9409社となっています。）
ISO/IEC 27001:2005（JIS Q 27001:2006） に基づく、ISMS認証の取得支援ならびに第三者認証に関係しない情報セキュリティの向上を目的とした企業プロジェクトの支援を通して、情報セキュリティの確保のためには、「情報セキュリティマネジメントシステムの構築・運用をすること」が何よりも大切ととの観点から、ISO 27001をベースとしながら、特に認証取得にこだわらずに情報セキュリティマネジメントシステムを手軽に構築・運用できるように情報セキュリティマネジメントシステムの構築と運用のポイントを解説している本を紹介します。
本書では、第1部において、経営者、プロジェクトリーダーに向けて情報セキュリティの全体像を解説し、次いで第2部では、情報セキュリティマネジメントシステムを構築していくプロジェクトの進行手順を解説し、そして第3部で、規格の付属書Ａの明快な解説といった構成で、情報セキュリティマネジメントシステムを通して企業が本当に強くなる方法について伝授しています。
本書：「ISO27001でひもとく 情報セキュリティマネジメントシステム」です。
本書は、著者：ブレインワークス にて、2008年4月にカナリア書房より発行されています。
本書の帯には、以下のように書かれてあります。
なぜ、情報セキュリティが
定着しないのか？
ISO 27001の認証取得をベースに、
マネジメントシステムの構築と運用を
プロがこっそり教えます！
情報セキュリティで
企業が本当に強くなる方法が
分かった。
本書は、上で紹介したように3部から構成されています。各部の意図に応じてその内容の構成も少し変わっています。また部の終わりなどに「ITはブラックボックス化」などの『コラム』の欄が設けられ、興味深いトピックスが取り上げられています。
本書の内容についてざっと紹介していきます。
第1部では、「情報セキュリティマネジメントシステム構築とは」
として、情報セキュリティの全体像について解説しています。企業経営と情報セキュリティの関わりについて幾つかの話題を取り上げ、情報セキュリティとは、玄関マットを敷く考え方と同じく物理的境界線を定め、リスクマネジメントにも関わるという話題など情報セキュリティの本質から第三者認証までについて解説しています。また情報セキュリティマネジメントシステムの構築について、やるべきことをリストアップするプランニングから始め、セキュリティプロジェクトについて行き詰まって失敗するケースを解説し、成功する上での留意ポイントなどを解説しています。情報セキュリティの、マネジメントサイクルを構築して、徐々にレベルアップを図るような方策が適切としています。
第2部では、「ISMSプロジェクト」
として、ISMSの構築に向けてISMSプロジェクトを立ち上げて、どのようなステップでISMSを構築・推進するかを解説しています。最初に 準備→計画→運用→監査→改善→審査のプロジェクトのフローを示し、各ステップを章立てして、主要な活動プロセスについて、そのフローでの位置づけ、とくにそのプロセスでの重要事項やポイントを箇条書きで抜き出した『プロセスのツボ』、次いでそのプロセスがなぜ必要なのかを解説している『プロセスの目的』、さらにプロセスの具体的な進め方を解説している『プロセスの進め方』との構成でISO/IEC 27001:2005（JIQ Q 27001:2006）に基づく、情報セキュリティマネジメントシステムの構築の手順を解説しています。
第3部では、「付属書Ａの解説」
として、ISO 27001の付属書Ａの133項目の詳細管理策について、ISO及びJISでの記述が難解だとして、前記管理策について分かり易く記述した『解釈』ならびに具体的な活用の例を記載した『管理策例』でA.15.3.2 といった条項番号について表でまとめて分かり易く解説しています。本来の情報セキュリティの目的に合致した使い勝手を重視したものとのことでJISの本文とは少し違った箇所もあります。
本書は、ISO/IEC 27001:2005（JIS Q 27001:2006）規格をベースとする情報セキュリティマネジメントシステムの構築と運用のポイントが明確に整理されて分かり易く解説されていると思います。
本書は、とくに組織においての情報セキュリティの定着、ISO 27001の認証取得に関心がある関係者には、お薦めの一冊です。
なお本書の概要目次は、以下の通りです。
第1部 情報セキュリティマネジメントシステム構築とは
第1章 経営における情報セキュリティの本質
第2章 情報セキュリティマネジメントシステムの構築
第2部 ISMSプロジェクト
ISMSプロジェクトをはじめるにあたって
第1章 準備
第2章 計画
第3章 運用
第4章 監査
第5章 改善
第6章 審査
第3部 付属書Ａの解説
A.5 セキュリティ基本方針
A.6 情報セキュリティのための組織
A.7 資産の管理
A.8 人的資源のセキュリティ
A.9 物理的及び環境的セキュリティ
A.10 通信及び運用管理
A.11 アクセス制御
A.12 情報システムの取得、開発及び保守
A.13 情報セキュリティインシデントの管理
A.14 事業継続管理
A.15 順守
（広告）
実践ISMS講座 情報セキュリティマネジメントと経営戦略
静岡大学総合情報処理センターでの2003年10月～2007年11月までの5年間にわたるISO/IEC 27001に基づくISMS（：情報セキュリティマネジメントシステム）活動の実践内容と運用手法を中心にISMSの構築と運用について解説している本を紹介します。
新書版ながら情報セキュリティの向上、業務の効率化を実現するための効果的な啓蒙活動や安価なツールの活用、更には、効率的で安価な文書管理手法などに関するノウハウや研究成果を含め実践的なISMS活動の解説書となっています。
本書：「実践ISMS講座 情報セキュリティマネジメントと経営戦略」です。
本書は、静岡大学ISMS研究会の長谷川 孝博 先生、伊藤 賢氏、井上 春樹先生の共著ならびに八卷 直一 先生の監修にて、2007年12月に静岡学術出版 理工学新書070003として発行されています。
本書の裏表紙の折り返し部には、本書の内容紹介で以下のことが書かれてあります。
「13000名のユーザが利用する大規模かつ自由度の高い大規模組織内ネットワーク!
これに対して、わずか10数名の情報セキュリティチーム!果たして真の情報セキュリティ文化は、構築できたのでしょうか!
本書は、この問題解決を目指しISO27001の認証取得とその運用を通して果敢に取り組んできた少人数セキュリティ部署の成功の記録をまとめたものです。
どの様な施策を行えば情報セキュリティシステムを確立することができ、さらにその高い水準を維持することができるのでしょうか。
セキュリティ向上、業務の効率化を実現するための効果的な啓蒙活動方法、安価なITツールの効果的活用法、そしてシステム構築の試行錯誤から得た貴重なノウハウ、研究成果など今すぐ役立つ話題満載の実践的ISMS解説書です。
企業、大学など幅広い分野の情報担当者に広くお勧めします。 」
本書は、15章からなります。1ページが1項目の読み切りの形式になっています。最初に写真や概念図などの図表で概要がまとめられ、それに解説の本文が続くという構成になっています。好きな箇所から読み始めることができます。通勤・通学の途上で読む進めるのにも好適です。
1章では、「はじめに」として、用語の説明や本書の構成の紹介があります。2章が「ISMSの概説」として、情報が第４の経営資源という話題に始まり、情報のCIA（機密性、完全性、可用性）と基本方針、PDCAとプロセスアプローチ、ISMS規格のPDCA構成などが取り上げられています。
３章では、「身の回りからはじめるISMS」として、ISMSをはじめましょうから始まり心得、基本方針の作成に向けてなどのISMSの基本的な事項について分かり易く解説されています。
４章では、「物理境界のセキュリティ」として、スタンドアロン型入室管理システムから、TVカメラ監視装置までの物理境界のセキュリティについて、５章では、「リスクアセスメント」として、リスクアセンスメント手法の要求要件から、脅威レベルを推定する上での注意、リスクアセスメント手法の種類や考え方について、６章では、「マインドマップ」として、トニー・ブザンのマインドマップ手法をISMSに活用していく静岡大学式の手法について解説されています。
７章では、「その他のＩＴツール」として、ワープロソフト、マインドマップソフト、電子掲示板システムなどのその他の活用されたツールについて解説。８章では、「内部監査（監査）」として、ISMS内部監査の概要から進め方、９章では、「マネジメントレビュー」として、それぞれの概要について解説しています。
１０章では、「大学のISMS」として、大学における情報セキュリティの位置づけ、問題点、運用、ISMSの効能などを解説。１１章では、「情報基盤とISMS」として、静岡大学の情報セキュリティセンターの活動の概要が解説されています。
１２章では、「文書作成と管理」として、また１３章では、「便利なワープロ基本機能」として、ISMSの文書管理手法として実施されたワープロの基本機能や活用手法について、ISMSマニュアル、手順書などの書き方から変更管理の手法など解説しています。
１４章では、「ISMSに関する研究紹介」、１５章では、「ISMS中長期戦略」として、大学でのISMS研究活動について解説しています。この二つの章では、リスクアセスメントの自動化手法など1ページの読み切り形式ではなく論文的な記載形式になっています。
ISO/IEC27001の認証に取り組まれる組織の関係者だけでなく、ISMSの分かり易い啓蒙書として情報セキュリティに関心があるビジネスパーソンにお奨めです。
なお本書の目次は、以下の内容です。
１． はじめに
２． ISMS概説
３． 身の回りからはじめるISMS
４． 物理境界のセキュリティ
５． リスクアセスメント
６． マインドマップ
７． その他のＩＴツール
８． 内部監査（監査）
９． マネジメントレビュー
１０． 大学のISMS
１１． 情報基盤とISMS
１２． 文書作成と管理
１３． 便利なワープロ基本機能
１４． ISMSに関する研究紹介
１５． ISMS中長期戦略
１６． 各種資料
１７． 著者紹介及び謝辞
（広告）
スリムに実現するISO27001完全実例集
ISO/IEC 27001:2005（JSIQ27001:2006、情報セキュリティマネジメントシステム）について認証取得したソフトウェア会社がISO27001の社内体制の構築から、マニュアル、規定類、帳票様式のすべての文書実例までを公開し、そのポイントを解説している本を紹介します。
これから認証取得を目指される組織関係者に、ISO 27001の取得プロセスをわかりやすく実例に基づき解説しています。
本書は、最小限のスリムな文書数で認証取得を実現した会社の文書を公開し、実際にシステムを構築して文書類を作成するコツを参考例として提示しているものです。
またISMSの認証取得からPDCAのマネジメントサイクルを運用し継続的な改善の取組の最新のシステムが反映された実例集とのこと。
本書：「スリムに実現するISO27001完全実例集」です。
本書は、著者：村島 昭男 氏（株式会社ゼロソフト）にて、2007年7月にオーム社より発行されています。
前著の「スリムに実現するISMS完全実例集」のISO27001への改定に対応して内容を大幅に変更した位置づけとなっています。
著者は、「はしがき」の中で、同社がISO27001の認証取得したことによるメリットについて社外的（��～�ぁ砲伴卞眦�（��～��）として以下のような点を上げています。
�仝楜劼陵弋瓩離札�ュリティ対策が、ISO27001の認証で軽減された
��ISO27001認証取得企業としての社会的信頼を得た
��ISO27001認証取得企業として営業が有利に運んだ
��ISO27001認証取得企業としてホームページでＰＲできた
�ゥ灰鵐廛薀ぅ▲鵐垢亮汰�により各社員がプライドが持てるようになった
�ζ�常扱っている情報価値の再認識
�Ь霾鷸饂困砲弔い堂礎祐僂療�一化ができた
�┘�リアデスクの徹底による社内の整理整頓が進む
��情報資産の取扱が均一化
��情報のバックアップが整備され安心が増えた
��業務上のセキュリティ要求事項に関わる契約への明確な対応
��災害時の対策手順が確立し、安心した業務活動
��事件、事項に繋がる「ウッカリハット」の事項の管理による未然防止の強化
��人的セキュリティの管理策の強化に伴う安心
��ISO9001とのマネジメントシステムとしての統合管理
また本書のマニュアル、規定類、帳票様式などの完全実例文書を収録したCD-ROMを株式会社ゼロソフトにて販売中とのことです。
本書は、3章から構成されています。
１章では、「ＩＳＭＳ取得プロセス」
として、ISO27001の認証取得の意思決定をしてから、社内体制を構築し、マニュアルなどのISMSを構築し運用する、また内部監査から審査までのISMSの取得のプロセスを時系列的に解説しています。
２章では、「文書の構成と作成のポイント」
として、ISMSの文書構成の体系から、特にISMSマニュアルの作成のポイント、さらに帳票作成上のポイントと、ISMSの運用上のコツなどを重点にISMS文書をどのように構成し、作成すればよいかといったポイントを株式会社ゼロソフトの事例を基に解説しています。
３章では、「文書実例」
として、この章がISO27001のマニュアル等の文書類の実例が掲載され、本書の中核部分になります。この文書実例では、以下の文書を取り上げています。
- 情報セキュリティマニュアル
- 事業継続管理手順
- 適用宣言書
- 情報資産管理台帳
- リスク対応計画書
- 残留リスク一覧
- 情報セキュリティルールブック
- システム管理マニュアル
- サーバ運用マニュアル
さらに帳票類としては、帳-01：「トラブル報告書」から帳-43：「ストレスチェックシート」までの43種類の帳票類が取り上げられています。
また付録（帳票記入例）として上記の43種類の全ての帳票の記入例が掲載されています。
なお本書の目次は、以下の内容です。
1章 ISMS取得プロセス
1.1 取得決定
1.2 社内体制の確立
1.3 ISMSの構築
1.4 内部監査
1.5 審査
2章 文書の構成と作成のポイント
2.1 ISMSの文書構成
2.2 ISMSのマニュアル作成ポイント
2.3 帳票作成上のポイント
2.4 運用上のコツ
3章 文書実例
情報セキュリティマニュアル
事業継続管理手順
適用宣言書
情報資産管理台帳
リスク対応計画書
残留リスク一覧
情報セキュリティルールブック
システム管理マニュアル
サーバ運用マニュアル
帳票類
付録（帳票記入例）
帳01トラブル報告書/帳02セキュリティ連絡票 ほか
（広告）
実務者のための情報セキュリティマネジメントシステム
JIPDEC（財団法人 日本情報処理開発協会）によると2007年7月13日現在のISMS（情報セキュリティマネジメントシステム：ISO/IEC 27001:2005（JISQ27001:2006）規格：（Information technology −Security techniques−Information security management systems−Requirements：情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−要求事項））に基づく認証登録件数は、2253とのこと。
さらにこのISMSの認証取得に取り組み組織は、増加しつつあるとのことのようです。
日本情報セキュリティ認証機構のスタッフがISMSをこれから構築しようという組織、或いは、既に構築し運用している組織の実務者をターゲットにして、ISO/IEC 27001:2005（JISQ27001:2006）規格について、その要求事項、さらに構築のポイント、 認証審査のポイントを分かり易く解説している本を紹介します。
本書：「実務者のための情報セキュリティマネジメントシステム」です。
「JIS Q27001(ISO/IEC27001)規格徹底解説」との副題が付いています。
本書は、日本情報セキュリティ認証機構 による編纂にて、2007年4月に産経新聞出版より発行されています。
本書の帯には、以下のように書かれてあります。
ISMSの全てが分かる実践的解説
ISMSによるITガバナナンス構築の手引き
「情報セキュリティの確保は、政府が推進するuーJapan戦略、 セキュアJAPAN構想において重要な柱ともなって
おり、安全安心なネットワーク社会の実現、セキュアで
安心感のある企業形成と持続性の確保のために経営者
が真剣に取り組むべきテーマである。」
本書は、本書の利用方法、はじめになどに続いて、１部から３部までの構成となっています。
また付録1：「ISMS規格について（ISO/IEC27001の概要、経緯、情報セキュリティの他のJIS規格、ISO/IEC27001及びその他のISMS規格などの動向など記載）」と付録2「COBITとISMSの関係、内部統制の土台としてのISMS（COBIT<Control Objectives for Information and related Technology>とISMSとの関係や比較、ISMSの内部統制への適用など記載）」が添付されています。
第１部では、「認証取得の前準備」
として、なぜISMSの認証を取得するかの目的を確認することからシステム構築に失敗しないためのキーポイントからスケジューリングなどのポイント、更には、ISMS審査を受ける際の要点が解説されています。
第２部では、「JIS Q27001規格のポイント」
として、JISQ27001:2006規格の序文から、8.3項の予防処置まで、とくに要求事項については、その要求事項、その解説、構築のポイント、認証審査のポイントといった要領で詳細に解説しています。
第３部では、「附属書A管理目的及び管理策」
として、JISQ27001:2006規格の附属書A管理目的及び管理策について、A5：セキュリティ基本方針、A.5.1：「セキュリティ基本方針」から、A15.3.2の情報システム監査ツールの保護までの管理目的及び管理策について、その解説、構築のポイント、認証審査のポイントといった要領で詳細に解説しています。
なお本書の目次は、以下の内容です。
第１部 認証取得の前準備
ISMS認証取得の目的を確認する/システム構築に失敗しないポイント/ISMS審査を受ける際のポイント
第２部 JIS Q27001規格のポイント
適用範囲/引用規格/用語及び定義/ 情報セキュリティマネジメントシステム ほか 第３部 附属書A管理目的及び管理策
セキュリティ基本方針/情報セキュリティのための組織/資産の管理 ほか
付録１ ISMS規格について
付録２ COBITとISMSの関係 内部統制の土台としてのISMS
（広告）
ISO/IEC17799：2005（JISQ27002：2006）
大日本印刷は、12日、ダイレクトメールの印刷などのため顧客企業43社から預かっていた個人情報約863万7000件が流出したと発表しています。
業務委託先の元社員が不正に持ち出したとのことで、個人情報の流出としては、過去最大規模になります。
今回流出した個人情報の中には、得意先が過去に流出を公表している事案のデータと一致するものが含まれており、これらの事案については、すでにそれぞれの得意先により安全対策が完了しているということのようです。
どうやら、持ち出されたデータは、捜査の過程ですべて押収されていて、第三者に渡った可能性は、確認されていないとのことです。
このような企業の情報資産の情報セキュリティを維持するため、機密性、可用性、完全性の確保が重要な要素となっており、それを確実にする手段として情報セキュリティマネジメントシステム（以降ISMSと略）の導入が進みつつあります。
本日は、情報セキュリティ分野の規格のエキスパートがISMSの国際標準規格のISO/IEC17799:2005（JISQ27002：2006）規格について詳しく解説している本を紹介します。
本書：「ISO/IEC 17799：2005（JIS Q 27002：2006）詳解情報セキュリティマネジメントシステム−要求事項」です。
本書は、中尾 康二氏、中野 初美氏、平野 芳行氏、吉田 健一郎氏の共著にて2007年3月に日本規格協会より発行されています。
本書は、第三者認証のための要求事項規格のISO/IEC 27001：2005（JIS Q 27001：2006）についての既刊の解説書：『ISO/IEC 27001：2005（JIS Q 27001：2006）詳解 情報セキュリティマネジメントシステム−要求事項』と併用して活用できるように構成されています。
本書の帯には、以下のように書かれてあります。
「情報関連規格のエキスパートが
明解にする！
ISO/IEC 17799:2005（JIS Q 27002:2006）・
情報セキュリティマネジメントシステム（ISMS）の
正しい理解、構築に欠かせない一冊！」
本書の「まえがき」で著者は、本書の目的などについて以下のように述べています。
企業において情報セキュリティを維持するためには、機密性、完全性、可用性の確保が重要な要素となっており、その実現の手段として、情報セキュリティマネジメントシステム（ISMS）の導入が行われてきた。
このためのベストプラクティスの標準としてISO/IEC 17799:2000（JIS X 5080:2002）が使われてきた。この規格は、改訂が行われて第2版が2005年に発行された。
また、この規格は、2007年にはISO/IEC 27002に国際規格番号が変更される予定であり、JIS化の際にその番号を先取りJIS Q 27002:2006として2006年5月20日に制定された。
また、第三者認証の基準となる要求事項の規格化も行われ、2005年10月にISO/IEC 27001:2005として、さらに翻訳JISは、JIS Q 27001:2006としてJIS Q 27002:2006と同時に制定されている。
本書では、このJIS Q 27002:2006：「情報セキュリティマネジメントの実践のための規範」について、以下の内容について解説することを目的としている。
- ISO/IEC 17799:2005及び対応するJIS Q 27002の改訂・制定の経緯
- 規格制定及び改正の意図を理解するための指針
- 規格で使われている用語及び訳語
- 規格の正確な理解のための解説
- 規格の利用のためのポイント
- ISMS関連規格の最新動向
本書は、2部から構成されています。
第1部では、「改訂の経緯と概要」として、情報セキュリティマネジメントの必要性、情報セキュリティマネジメントガイドラインの国際規格化の制定経緯、ISO／IEC JTC 1／SC27の役割及び分担、ISO／IEC 27000シリーズの概説などの概要が解説されています。
第2部では、「要求事項の解説」として、最初に情報セキュリティの基本及びこの規格の位置付けが解説され、次いで適用範囲、用語及び定義、に続いて4項「リスクアセスメント及びリスク対応」から15項「順守」までの管理策と実施の手引きについて『概要』、『旧JISからの変更』について詳しく解説しています。
『ISO/IEC 27001：2005（JIS Q 27001：2006）詳解 情報セキュリティマネジメントシステム−要求事項』と併せて、情報セキュリティマネジメントシステム（ISMS）の正しい理解及びその構築と運用には、欠かせない1冊だと思います。
なお本書の目次は、以下の内容です。
第1部 改訂の経緯と概要
1. 情報セキュリティマネジメントの必要性
2. 情報セキュリティマネジメントガイドラインの国際規格化の制定経緯
3. ISO/IEC JTC1/SC27の役割及び分担
4. ISO/IEC 27000シリーズの概説
5. JIS Q 27002の制定の経緯及び旧JIS X5080との差異
第2部 要求事項の解説
0. 情報セキュリティの基本及びこの規格の位置付け
1. 適用範囲
2. 用語及び定義
3. 規格の構成
4. リスクアセスメント及びリスク対応
5. セキュリティ基本方針
6. 情報セキュリティのための組織
7. 資産の管理
8. 人的資源のセキュリティ
9. 物理的及び環境的セキュリティ
10. 通信及び運用管理
11. アクセス制御
12. 情報システムの取得，開発及び保守
13. 情報セキュリティインシデントの管理
14. 事業継続管理
15. 順 守
（広告）
情報セキュリティ読本 改訂版
独立行政法人 情報処理推進機構がコンピュータやネットワークを使用するユーザを対象に、情報セキュリティについての基本概念をわかりやすく説明すると共に企業の経営や組織の運営に携わる人が、情報セキュリティについて経営資産を防護する観点からどのように考慮するべきかについてもわかりやすく解説している情報セキュリティ読本の改訂版が発行されています。本書の旧版については、こちらのブログでも紹介しています。
本書：「情報セキュリティ読本 改訂版」です。
本書には、「IT時代の危機管理入門」との副題が付いています。
本書は、独立行政法人 情報処理推進機構の著にて、2006年12月に実教出版より発行されています。
情報セキュリティの技術的な事柄の細部にはあまりこだわらず、イラストなども含めて気軽に読み進めるうちに情報セキュリティの全体像が把握できるように工夫されています。
また本書に対応したマイクロソフト：パワーポイントまたは、アドビ：アクロバットによるプレゼン資料が独立行政法人 情報処理推進機構のサイトから入手できるので、これを併用して活用することも含めて、とくに行政、企業、大学、地域コミュニティなどで情報セキュリティに関する教育を行う際や、経営層の方に情報セキュリティの全体像を把握してもらう場合などに最適な教則本となっています。
本書は、7章から構成され、末尾には、資料1：「情報セキュリティ関連URL集」ならびに資料2：「用語集」が添付されています。
第1章では、「IT（情報技術）に潜む危険」とし、旧版からは実例が最新のものと書き換えられ全体的な文書も大幅に改定されています。ITの落とし穴、危険の認識と対策と情報漏えいやスパイウェア、ワンクリック詐欺、インターネット、メール、日常業務に潜む危険などを解説しています。
第2章では、「今日のセキュリティリスク」として、情報セキュリティ、ウイルス被害、不正アクセス、サービス妨害、セキュリティホールなどのテーマについて最新のデータで解説されています。
第3章では、「ウイルスなどの不正プログラムによる被害とその対策」として、ウイルス、今回追加して、スパイウェア、ボットなどが取り上げられ、ウイルスなどの不正プログラムの予防とその対策についての留意点を解説しています。
第4章では「実際のセキュリティ対策」として、旧版から大幅に改定されています。この章では、ウイルスや不正アクセスなどの情報セキュリティを脅かすリスクに対してどのような対策を立てて対処すべきかを個人レベルと企業レベルのそれぞれの側面から解説しています。個人レベルでは、セキュリティホールの解消や、メールの暗号化とデジタル署名の利用、常時接続の危険性と対策、無線LAN、フィッシング詐欺、ワンクリック不正請求対策などが、企業レベルでは、セキュリティポリシーの策定に始まり、Plan、Do、Check、Actのセキュリティマネジメントや情報漏えいの経路と原因、企業や組織の一員として遵守すべき情報セキュリティ心得のポイントなどについて解説しています。
第5章では、「もっと知りたいセキュリティ技術」として、情報セキュリティに関わる基本的なパスワード、ポートと脆弱性、ファイアウォール、暗号化とデジタル署名などの技術について解説しています。
第6章では「情報セキュリティ関連の法規と制度」として、情報セキュリティの国際基準としてISO/IEC17799と27000シリーズ、セキュリティ製品の評価認証のための国際標準のISO/IEC 15408、情報セキュリティに関する法律として、刑法、不正アクセス禁止法、電子署名法、個人情報保護法、知的財産を守る法律としての著作権法、不正競争防止法、迷惑メール関連法、さらには情報セキュリティ関連制度として、ISMS適合性評価制度、ITセキュリティ評価及び認証制度、プライバシマーク制度、情報セキュリティ監査制度、コンピュータウイルス及び不正アクセスに対する届出制度、脆弱性関連情報に関する届出制度などを解説しています。
第7章では、「IPA セキュリティセンターの活動」として、独立行政法人 情報処理推進機構の主要な活動内容が紹介されています。
基本的なことが書いていていいです！
なお本書の目次は、以下の内容です。
第1章 IT（情報技術）に潜む危険
1.1 ITの落とし穴
1.2 危険の認識と対策
コラム ハッカーとクラッカー
第2章 今日のセキュリティリスク
2.1 情報セキュリティ
2.2 高水準で推移するウイルス被害
コラム ウイルス名にまつわるエトセトラ
2.3 外部からの侵入（不正アクセス）
2.4 サーバへの攻撃（サービス妨害）
2.5 情報システムのセキュリティホール
第3章 ウイルスなどの不正プログラムによる被害とその対策
3.1 ウイルス
コラム ウイルスのタイプあれこれ
3.2 スパイウェア
3.3 ボット
3.4 ウイルスなどの不正プログラムの予防とその対策
コラム 万全でないISPのメールチェックサービス
第4章 実際のセキュリティ対策
4.1 個人レベルのセキュリティ対策
コラム セキュリティの設定
4.2 企業レベルのセキュリティ対策
コラム ソーシャルエンジニアリングに注意
第5章 もっと知りたいセキュリティ技術
5.1 アカウント、ID、パスワード
5.2 ポートと脆弱性
5.3 ファイアウォール
コラム Windows XPの簡易ファイアウォール機能を有効にする方法
5.4 暗号とディジタル署名
コラム ハッシュ関数とメッセージダイジェスト
第6章 情報セキュリティ関連の法規と制度
6.1 情報セキュリティの国際標準
6.2 情報セキュリティに関する法律
6.3 知的財産を守る法律
6.4 迷惑メール関連法
6.5 情報セキュリティ関連制度
第7章 IPA セキュリティセンターの活動
資料1. 情報セキュリティ関連URL集
資料2. 用語集
（広告）
オフィス・デポのショッピングガイド。各種ご案内や特長を掲載しています。
対訳 ISO/IEC 27001：2005（JIS Q 27001：2006）情報セキュリティマネジメントシステム
情報セキュリティマネジメントシステムの認証について、ISMS認証基準（Ver2.0）により初回登録及び維持/更新審査を進めてきた組織においても、ISO 27001:2005（JIS Q 27001:2006）「情報技術-セキュリティ技術-情報セキュリティマネジメントシステム-要求事項）に基づく、または、ISMS認証基準（Ver2.0）とISO 27001との差分を含む、ISO27001への移行のための維持審査がこの10月からスタートしています。勿論5月20日以降すでにISO27001への初回登録や移行の審査を受けられた組織もあると思います。
本日は、情報セキュリティマネジメントシステムの構築や審査登録を受けられる組織にとっては、必携本かと思われますが、ISO/IEC 27001:2005およびJIS Q 27001:2006のポケット版の対訳本が発行されていますので紹介します。
本書：「対訳 ISO/IEC 27001：2005（JIS Q 27001：2006）情報セキュリティマネジメントシステム [ポケット版]」です。
本書は、日本規格協会の編著で、日本規格協会より2006年10月に発行されています。
本書の帯には、以下のように書かれてあります。
「待望の対訳ポケット版！！
情報セキュリティマネジメントシステム規格
*情報セキュリティマネジメントシステムの構築・審査登録の必携書
*ISO原本とJISの対訳を持ち運びに便利なポケットサイズに収録」
なお帯の裏面には、こちらのブログで紹介した同規格の解説書「ISO/IEC 27001：2005（JIS Q 27001：2006）詳解 情報セキュリティマネジメントシステム−要求事項」が紹介されています。
他の対訳本と同様に見開きの左側のページにISO規格原文がそして右側のページには,JIS訳が掲載されています。
本書の定価は、3,000円（税別）となっています。（なおISO9001:2000、ISO14001:2004の対訳本よりは、3から4割程度薄く、ハンディーになっています。）
なお本書の目次は、以下の内容です。
ISO/IEC 27001：2005
Information technology-Security
techniques-Information Security
management systems-Requirements
Foreword
0 Introduction
0.1 General
0.2 Process approach
0.3 Compartibility with other management systems
1 Scope
1.1 General
1.2 Application
2 Normative references
3 Terms and definitions
4 Information security management system
4.1 General requirements ～
4.3 Documentation requirements
5 Management responcibility
5.1 Management commitment
5.2 Resource management
6 Internal ISMS audits
7 Management review of the ISMS
7.1 General ～
7.3 Review output
8 ISMS improvement
8.1 Continual improvement ～
8.3 Preventive action
Annex A(normative) Control objectives and controls
Annex B(informative) OECD principles and this International Standard
Annex C(informative) Correspondence between ISO 9001:2000,ISO 14001:2004 and this International Standard
Bibliography
JIS Q 27001:2006
情報技術−セキュリティ技術−
情報セキュリティマネジメントシステム-
要求事項
まえがき
0.1 序文
0.2 ISMSの採用
0.2.1 概要 ～
0.2.3 他のマネジメントシステムとの両立性
1 適用範囲
1.1 一般
1.2 適用
2 引用規格
3 用語及び定義
4 情報セキュリティマネジメントシステム
4.1 一般要求事項 ～
4.3 文書化に関する要求事項
5 経営陣の責任
5.1 経営陣のコミットメント
5.2 経営資源の運用管理
6 ISMS内部監査
7 ISMSのマネジメントレビュー
7.1 一般 ～
7.3 レビューからのアウトプット
8 ISMSの改善
8.1 継続的改善 ～
8.3 予防処置
附属書A（規定） 管理目的及び管理策
附属書B（参考） OECD原則及びこの規格
附属書C（参考） JIS Q 9001:2000,JIS Q 14001:2004,及びこの規格の比較
参考文献
（広告）
探していた何かがそこにある スタイリッシュに生きる大人のスマートフォン（W-ZERO3[es]）
ISO/IEC 27001：2005（JIS Q 27001：2006）詳解 情報セキュリティマネジメントシステム−要求事項
ISO/IEC 27001:2005（JIS Q 27001:2006）規格の1.1 「適用範囲： 一般」には、以下のことが書かれてあります。
「この規格は，あらゆる形態の組織（例えば，営利企業，政府機関，非営利団体）を対象にする。この規格は，その組織の事業リスク全般に対する考慮のもとで，文書化した ISMS（Information security management」system）を確立，導入，運用，監視，レビュー，維持及び改善するための要求事項について規定する。この規格は，それぞれの組織又はその組織の一部が，そのニーズに応じて調整したセキュリティ管理策を導入する際の要求事項について規定する。
このISMS は，情報資産を保護し，また，利害関係者に信頼を与える，十分で，かつ，均整のとれたセキュリティ管理策の選択を確実にするために設計される。」
現在までにISMSの認証を取得した組織数は、1,768組織（2006-9-29現在JIPDECデータ）となっています。
このようにISMSに関わるニーズが強くなってきていますが、ISMSに取り組む組織の人にとって、例えば、JIS Q 27001:2006規格の4.2.2 d)に代表される「管理策の有効性の測定」などリスクが受容できるレベルまで低減していることを確認することと理解したとしても、本件も含むガイドライン規格のISO/IEC 27004（Information security management measurements）も提示されていない状況でどのように進めるかがわかり難い内容を含んだシステムになっています。
本日は,ISO27000シリーズの標準化を進めるISO/IEC JTC1（情報技術）/SC 27（セキュリティ技術）のWG1（要求事項、セキュリティのサービス及びガイドライン）の委員で同規格のJIS化の委員でもある著者がISO/IEC 27001:2005（JIS Q 27001:2006）「情報セキュリティマネジメントシステム-要求事項」規格について詳しく解説している書籍を紹介します。
本書：「ＩSO/IEC 27001：2005（JIS Q 27001：2006）
詳解 情報セキュリティマネジメントシステム−要求事項」です。
本書は、平野 芳行氏ならびに吉田 健一郎氏の共著で、2006年9月に日本規格協会から発行されています。
本書の帯には、以下の通り書かれてあります。
「規格制定のエキスパートが実務の勘所を明らかにする。
情報セキュリティマネジメントシステムの構築に必要不可欠な一冊！」
本書の「はじめに」の項で、以下のことが書かれてあります。
「本書は、このJIS Q 27001について、以下の内容について解説することを目的としている。
(1) 国際標準及び対応JISの制定の経緯
(2) この規格制定の意図を理解するための指針
(3) 規格で使われている用語及び訳語
(4) この規格本文の要求事項の解説
(5) 付属書Ａ（規定）（JIS Q 27002）の管理目的及び管理策の概要
(6) この規格の利用のためのポイント
(7) 今後のISMS関連規格の動向本書では、JIS Q 27001に記載されている要求事項を規格本文とISMS認証基準Ver2.0とを比較して正確に把握できるよう記述したつもりである。
さらにこの規格は、JIS Q 27002:2006 「情報セキュリティマネジメントシステム実践のための規範」というガイドブックとともに使用することが容易なように構成されている。」
本書は、情報セキュリティマネジメントシステムに取り組む組織にとって要求事項の深い理解のために必要不可欠な一冊かと思われます。
本書の全体像は、これまでの説明と目次から把握できるかと思われますが、第6章については、8つのQ&Aの形式でISMSの導入・運用のポイントを解説しています。
なお本書の目次は、以下の内容です。
第1章 ISO/IEC 27001（JIS Q 27001）の制定の概要
1.1 ISO/IEC 27001の制定及びその経緯
1.2 ISO/IEC 27001の制定の要点
1.3 ISO/IEC 27001の制定の成果
1.4 ISO/IEC 27001のJIS化
第2章 この規格の理解のために
2.1 JIS Q 27002との関係
2.2 この規格の様式
2.3 マネジメントシステムの概念
2.4 他のマネジメントシステム規格との関係
第3章 用語及び訳語
3.1 用語の定義
3.2 用語に関する注記
3.3 片仮名書きの使用
3.4 動詞関係の訳語
3.5 動詞以外の訳の選択
3.6 JIS Q 27002:2006で定義された用語
3.7 リスクマネジメント関係の用語
第4章 要求事項の解説
4. 情報セキュリティマネジメントシステム
5. 経営陣の責任
6. ISMS内部監査
7. ISMSのマネジメントレビュー
8. ISMSの改善
第5章 附属書A（規定） 管理目的及び管理策の概要
A.5 セキュリティ基本方針
A.6 情報セキュリティのための組織
A.7 資産の管理
A.8 人的資源のセキュリティ
A.9 物理的及び環境的セキュリティ
A.10 通信及び運用管理
A.11 アクセス制御
A.12 情報システムの取得，開発及び保守
A.13 情報セキュリティインシデントの管理
A.14 事業継続管理
A.15 順守
第6章 この規格の利用のポイント
第7章 情報セキュリティマネジメントシステム（ISMS）関連の標準化の動向
付録 附属書Aの対比表
(広告）
お買い得は見逃せない！毎週更新スペシャルセールコーナー登場。定期チェックは必須！！
ISO/IEC27001情報セキュリティマネジメントシステム(ISMS)構築読本
ISO/IEC 27001:2005（JISQ 27001:2006）規格の序文のブロセスアプローチの項で以下のように記載されています。
「この規格が規定する情報セキュリティマネジメントのためのプロセスアプローチでは，利用者が次の点を重視することを期待する。
a) 組織の情報セキュリティ要求事項を理解し，かつ，情報セキュリティのための基本方針及び目的を確立する必要性を理解する。
b) その組織の事業リスク全般に対する考慮のもとで，組織の情報セキュリティリスクを運営管理するための管理策を導入し，運用する。
c) そのISMS のパフォーマンス及び有効性を監視し，レビューする。
d) 客観的な測定に基づいて継続的に改善する。」
本日は、上記のような視点で、ISO/IEC27001規格の概要から、ISO/IEC27001を利用して情報セキュリティマネジメントシステムを構築する手順、ISO/IEC27001の規格要求事項及び付属書の管理策までを解説している書籍を紹介します。
本書」：「（ISO／IEC27001）情報セキュリティマネジメントシステム(ISMS)構築読本」です。
本書には、「情報資産の利便性と保護の両立を目指して」との副題が付けられてあります。
本書は、著者：志村 満 氏で日本コンサルタントグループより、2006年7月に発行されています。
本書では、第1章でＩＳＯ/ＩＥＣ２７００１の概要が、第2章では、ＩＳＭＳの構築の手順が解説されます。
第3章には、ISO/IEC 27001規格の要求事項についての解説が掲載されています。
また第４章で、ISO/IEC 27001規格の付属書Ａ「管理目的及び管理策」についての解説がされるという内容になっています。
内容的には、イラストや図表を用いて、読者が分かり易く理解できるように工夫されています。
なお本書の目次は、以下の内容となっています。
第 １ 章 ： ＩＳＯ/ＩＥＣ２７００１の概要
第 ２ 章 ： ＩＳＯ/ＩＥＣ２７００１の導入手順
ＩＳＭＳ導入スケジュールの立て方
統合マネジメントシステムとしての構築
リスクアセスメントの進め方
内部監査及びマネジメントレビュー
登録審査
第 ３ 章 ： ＩＳＯ/ＩＥＣ２７００１の規格要求事項の理解
ＩＳＭＳの運用範囲他
用語及び定義
情報セキュリティマネジメントシステム
第 ４ 章 ： ＩＳＯ/ＩＥＣ２７００１の附属書Ａ−管理策の理解−
適用宣言書及び附属書Ａの全体構造
Ａ. 5 セキュリティ基本方針
Ａ. 6 情報セキュリティのための組織
Ａ. 7 資産の管理
Ａ. 8 人的資産のセキュリティ
Ａ. 10 通信及び運用管理
Ａ. 11 アクセス制御
Ａ. 12 情報システムの取得、開発及び保守
Ａ. 13 情報セキュリティインシデントの管理
Ａ. 15 順守
スポンサードリンク
