ISMSの構築に必要な「管理策」の意味を紹介 

ISMS（情報セキュリティマネジメントシステム）を構築するには、ISO/IEC 27001の附属書Aに記載された管理策のうち、どれを適用するのか、除外するのか決める必要があります。

この記事では管理策とは何か、決め方や関連する用語などをまとめました。

ISMSについては、こちらの記事で基礎知識を紹介しています。
ISMS （情報セキュリティマネジメントシステム）とは？基礎知識を徹底解説

ISMSの管理策とは？

ISMSの管理策とは、ISMSの国際規格であるISO/IEC 27001の附属書Aに記載された情報セキュリティ管理策のことを指します。言い換えると、情報漏えいなどの事故やサイバー攻撃などへの対策が管理策です。

ISO/IEC 27001:2013の附属書Aには114項目の管理目的及び管理策が、ISO/IEC 27001:2022の附属書Aには93項目の管理目的及び管理策が記載されています。改訂により数が減ったように感じますが、実際に削除された管理策はゼロで、一部が統合された形です。さらに改訂によって、以下の11の管理策が追加されています。

• 脅威インテリジェンス

• クラウドサービス利用のための情報セキュリティ

• ビジネス継続のためのICTの備え

• 物理的セキュリティ監視

• 設定管理

• 情報の削除

• データマスキング

• データ漏洩の防止

• 監視活動

• ウェブフィルタリング

• セキュアコーディング

この改訂に伴い、ISO/IEC 27001に記載されている要求事項をもとに、さらに具体的な情報セキュリティマネジメントの管理策を示した規格である『ISO /IEC 27002』も改定されました。ISO /IEC 27002に記載されている管理策は、以下の4つに分類されています。

組織的な対策：自社で情報セキュリティマネジメントを適切に運用するための対策
具体例： ISMSの運用・監査、情報セキュリティインシデントの管理・対応など

人的な対策：従業員によって引き起こされる事件・事故への対策
具体例：情報セキュリティに関する教育の実施、違反時の処罰の決定、備品紛失を防ぐための対策など

物理的な対策：ハードウェアや建物、設備を守るための対策
具体例：機器の盗難防止、建物の耐震・耐火対策、建物の入退室管理など

技術的な対策：主にソフトウェアなどを守るための対策
具体例：マルウェアの対策・不正アクセスの検知・通信の暗号化など

詳細はこちらの記事をご覧ください。
ISMS 審査基準 (ISO/IEC 27001)が改定される？今後の動向を予想
『 ISO/IEC 27002』とは？『 ISO/IEC 27001』との違いや2022年2月の改定内容を解説 

『ISO/IEC 27001』と『ISO/IEC 27002』の関係性

『ISO/IEC 27001』と『ISO/IEC 27002』という2つの言葉が出てきたので、ここではその関係性に少し触れます。

説明の都合上、まずはISO/IEC 27002について説明します。ISO/IEC 27002は、前の項目で紹介したとおり、具体的なセキュリティマネジメントの管理策が書かれています。

一方、ISO/IEC 27001には、「ISO/IEC 27002に書かれている内容を参考にしてセキュリティ対策を行い、それを元に社内のセキュリティ体制を構築しましょう」ということが書かれています。

ISO/IEC 27002の内容を取り入れた上で、

• リスクアセスメントをどうやっていくか

• 内部監査をどうやっていくか

• 社内のセキュリティ体制をどう作っていくか

• マネジメントレビューをどうやっていくか

などを検討・実施しながら、 PDCAサイクルを回していくことが書かれているのがISO/IEC 27001です。

ISO/IEC 27001については、こちらの記事をご覧ください。
ISO/IEC 27001 とは？要求事項や ISMS 認証との違いを分かりやすく解説

管理策と要求事項の違い

ISO/IEC 27001に関する言葉で、「管理策」と「要求事項」を混同してしまう人が少なくありません。それぞれの意味を理解し、区別できるようにしましょう。

管理策：ISO/IEC 27001の附属書Aに記載され、企業・組織によって適用するか除外するかを決める情報セキュリティの対策

要求事項： ISMS認証を受ける場合に必ず対応が求められている、ISO/IEC 27001に記載された10の項目

ISMS 適用宣言書について

 ISO/IEC 27001の附属書Aに記載された情報セキュリティ管理策は、全て適用する必要はありません。自社に必要なもののみを適用し、それ以外は除外することができます（ただし、除外理由の妥当性は審査員が着目するポイントのため、基本的には全項目を記載するつもりで作成するのがおすすめ）。

どの管理策を適用・除外するのか、その理由とあわせて記載した文章をISMS適用宣言書と呼びます。

ISMS適用宣言書はISMS認証を取得するためだけでなく、組織・企業が行うセキュリティ対策を外部に対して明確にするためにも作成が必須です。

ISMS適用宣言書については、こちらの記事でまとめています。
ISMS 適用宣言書とは？作成する理由や記載する内容 

適用・除外する管理策を決める基本的な方法

自社に適用・除外する管理策を決める際は、まずISO/IEC 27001の附属書Aに記載された管理策を大まかに把握することから始めます。

管理策を把握したら、適用するもの、除外するものを選択していきます。附属書Aに記載されていることを具体的に自社で運用するならばどんなケースなのかを想像し、それを含めた場合のコスト、含めなかった場合のリスクを天秤にかけてコストパフォーマンスを考える方法や、代替措置を検討するなど、柔軟な思考が必要です。

SecureNaviを活用して、ISMS認証の取得や運用を効率化しましょう！

今回は、ISMSの構築に必要な「管理策」の意味について紹介しました。ISMSの管理策とは、 ISO/IEC 27001の附属書Aに記載された情報漏えいなどの事故やサイバー攻撃などへの対策を意味します。
管理策は全て適用する必要はなく、自社の状況に合わせて適用・除外するものを決めることが求められます。これからISMSを構築するセキュリティ担当者の方は、まずISO/IEC 27001の附属書Aを参照し、どのような管理策があるのか把握することがおすすめです。

『SecureNavi』は 内製でのISMSの構築・運用を効率化するクラウドサービスです。ISMS認証の運用に関する様々なお悩みをツールとサポートによって解決します。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得や運用にご活用いただけそうかご確認ください。