組織の情報セキュリティに関係して、リスク管理、情報セキュリティ装置やシステムの情報セキュリティ機能、およびこれらの情報技術セキュリティ評価と情報セキュリティマネジメントシステムについて解説している本を紹介します。
本書は、もともと2003年に出版された「ユビキタス時代の情報セキュリティ技術」の改定版になります。
改訂版は、基礎編と実践編との2分冊からなる構成とのことで、すでに改訂版の基礎編である「情報セキュリティ概論」は、2007年に出版されています。
本書では、実践編として、情報セキュリティの機能とはなにか、実装の評価 、運用の保証をいかに行うかといった点に焦点をあてた内容となっています。
また情報セキュリティの本質を深く学ぶ教科書といった観点から上記の内容に加えて、実例に近い学習方法が採用され、大学院学生、企業技術者をターゲットに演習による学習にも重点をおいた構成となっています。
<<ポイント>>
ISO/IEC 27001およびISO/IEC 15408などをベースに情報セキュリティマネジメントシステムおよび情報技術セキュリティ評価について学ぶテキスト。
本書では、
情報セキュリティポリシーの策定にはじまり、
組織のリスク管理の考え方、
情報セキュリティマネジメントシステムを確立、導入、運用、監視、レビュー、維持改善するための要求事項を規定するISO/IEC 27001：2005（「JIS Q 27001：2006」：情報技術-セキュリティ技術-情報セキュリティ技術-情報セキュリティマネジメントシステム-要求事項）、
および情報技術セキュリティの面において、情報技術に関連した製品やシステムが適切に設計され、その設計が正しく実装されているかどうかを評価するための情報技術セキュリティ評価の国際標準であるISO/IEC 15408、
等について学ぶといった内容になっています。
本書：「情報セキュリティの実装保証とマネジメント」です。
本書は、瀬戸 洋一 氏、 織茂 昌之 氏、廣田 倫子 氏ならびに 高取 敏夫 氏による共著にて、2009年4月に 日本工業出版 より発行されています。
他にはない充実度です<<本書のエッセンスの一部>>
本書の帯には、以下のように書かれています。
大学院および企業技術者に最適な教科書
情報セキュリティの実装保証とマネジメント
本書は、実践的な情報セキュリティを学ぶために最適な書籍です。
セキュリティ確保のスタートラインである情報セキュリティポリシーを学んだ上で、
セキュリティ機能を適正に実装したソフトウェアあるいはシステムを構築するための手法であるISO/IEC 15408、およびITシステムの安全性を確保するため運用レベルでのセキュリティ確保の手法であるISO/IEC 27001について演習を中心に効率よく学ぶことができます。
すぐに使える技術を培うことに重点をおいた構成となっています。
大学院および企業研修に最適な良書です。
本書は、6章から構成されています。
各章の終わりには、その章の理解のためのケースタディを含む実務的な演習問題が掲載されています。この演習の回答は、本書には、掲載されていませんが、演習問題の模範解答は、執筆者の一人に連絡すれば、実費にて配布されるとのことです。
また演習問題と共に多数の充実した参考文献が紹介されていて更なる深い勉強の参考になります。
本文は、明快に整理され分かり易い内容になっており、本文中には、フロー図、概念図などの図表が多数挿入されていて内容の理解を補助する構成となっています。
章を追って概略の内容をざっと紹介します。
1章では、「情報セキュリティポリシーの策定」
と題して、情報セキュリティポリシーの基本的な概念と具体的な策定方法について、「各省庁向けの情報セキュリティリシーに関するガイドライン」、「国立大学法人等における情報セキュリティポリシーの策定」などのガイドラインを交えて解説しています。
情報セキュリティポリシーとはといった情報セキュリティポリシーの制定の意義・必要性から、情報セキュリティポリシーの構成について、さらに「組織体制の確立」から「リスク分析」等を経て「ポリシーの決定」に至る情報セキュリティポリシーの策定手順、さらには、情報セキュリティポリシーの運用等について解説しています。
2章では、「リスクマネジメント」
と題して、特にITシステムの構築あるいは、ITシステムに関係した組織に対して、ISO/IEC 15408 およびISO/IEC 27001を実施する上で必要なリスクマネジメントについてリスクマネジメントの必要性、リスクの定義に始まるリスクマネジメントの概要、リスクアセスメント・マネジメント、リスク評価、リスクの対応、リスクの受容、リスクコミュニケーションといったリスクマネジメントに関わる主要な概念を取り上げ、意義、目的、進め方の手順等について詳細に解説しています。
3章では、「情報セキュリティマネジメントシステム」
と題して、ISO/IEC 27001（「JISQ 27001）に基づく情報セキュリティマネジメントシステムについて解説しています。
BS 7799に始まる情報セキュリティマネジメントシステム（以降ISMSと略）規格の歴史と標準化、ISO/IEC 27001（「JISQ 27001）規格の構成とその概要、プロセスアプローチとPDCAサイクルの考え方といった事柄を解説した上で、ISO/IEC 27001に基づくISMSの構築のステップと運用管理についてPDCAのサイクルに沿って解説しています。
またISMSの文書化、文書管理、記録の管理について、さらに経営陣の責任とマネジメントレビュー、ISO/IEC 27001の付属書A：ISO/IEC 27002の箇条5から箇条15に対応した管理目的及び管理策の概要、さらにISMSの有効性測定といった項目を解説しています。
4章では、「情報技術セキュリティ評価」
と題して、ISO/IEC 15408の内容に基づいて、セキュリティ設計・実装において必要となる考え方、要件について解説しています。
とくにISO/IEC 15408とイコールの関係にあり、ISO/IEC 15408のもととなっているセキュリティ評価の基準のCC（Common Criteria）の最新版であるCC V3.1の内容をベースに解説しています。
情報システムセキュリティ対策への要件とCC認証、CC策定の歴史と国内制度、CCの概要、情報システムのセキュリティ基本設計、情報システムのセキュリティ実装における要件といった内容を詳解しています。
5章では、「事業継続とガバナンス」
と題して、ISO/IEC 27001の管理すべき項目の一つとして組み込まれている事業継続管理（BCM）（付属書 A.14 事業継続管理：ISO/IEC 27002の14：事業継続管理）とガバナンスについて解説しています。
「情報システムの重大な故障又は災害の影響からの事業活動の中断に対処するとともに，それらから重要な業務プロセスを保護し，また，事業活動及び重要な業務プロセスの時機を失しない再開を確実にするため」（14.1）
といった情報セキュリティ側面における事業継続管理の管理目的などを紹介し、事業継続管理と情報セキュリティについて、ISO/IEC 27002の14：事業継続管理の管理策と実施の手引きの「14.1.5 事業継続計画の試験，維持及び再評価」までの概要を解説しています。
さらに事業継続関連のBCP/BCM（事業継続計画/事業継続管理）に関わる国内外の動向、BS 25999-1:2006規格の「事業継続管理 第1部 実践規範（Business Continuity Management-Part1：Code of practice）を参照しBCMライフサイクル、事業継続マネジメントシステム（BCMS）プロセスの概要、事業継続とガバナンスとの関連等を取り上げ解説しています。
6章では、「情報セキュリティ監査」
と題して、経済産業省が2003年3月に公開した「情報セキュリティ監査研究会報告書」で述べられている情報セキュリティ監査の概要について、監査の形態、情報セキュリティ監査の標準的な基準、情報セキュリティ監査基準、監査技法、 情報セキュリティ監査制度のポイントを解説しています。
<<本書で何が学べるか？>>
本書では、セキュリティ確保のスタートラインである情報セキュリティポリシーを学んだ上で、組織のリスク管理の考え方、ＩＳＭＳを確立、導入、運用、監視、レビュー、維持改善するための要求事項を規定しているISO/IEC 27001：2005（「JIS Q 27001：2006」）の概要について、そして、情報技術セキュリティの面において、情報技術に関連した製品やシステムが適切に設計され、その設計が正しく実装されているかどうかを評価するための情報技術セキュリティ評価の国際標準であるISO/IEC 15408（＝の関係にあるCC）、更には、事業継続管理とガバナンス、情報セキュリティ監査といった内容を実務的な演習問題と共に学ぶことができます。
コンパクトなA5版の本文178頁のなかにぎっしりとＩＳＭＳと情報技術セキュリティ評価の実装保証の国際標準の内容が教科書としてぎっしりと詰まった充実した内容となっています。
<<まとめ>>
本書は、情報セキュリティについての本質を深く学びたいニーズを持っている方には、お薦めの一冊です。
なお本書の主要目次は、以下の内容です。
1章 情報セキュリティポリシーの策定
2章 リスクマネジメント
3章 情報セキュリティマネジメントシステム
4章 情報技術セキュリティ評価
5章 事業継続とガバナンス
6章 情報セキュリティ監査
（広告）
Adobe Creative Suite 4 Production Premium
