社会の情報化が進む中、企業に求められるようになったのが情報セキュリティ意識の向上です。ISMSは、そんなサイバー犯罪や情報漏洩のリスクを低減する上で、重要な基準として大きな役割を果たします。ISMSの概要や、それに付随する認証システムについてご紹介します。
ISMSとは？企業に求められる情報セキュリティ
ISMS(情報セキュリティマネジメントシステム)とは
ISMSはInformation Security Management Systemの略称で、日本語に訳すと「情報セキュリティマネジメントシステム)」となります。
近年急増しているサイバー犯罪を防ぐためにはセキュリティ対策を徹底する必要がありますが、どのようにセキュリティ対策を進めていけば良いのかについて、優れた基準となってくれます。
セキュリティ対策を徹底するためのマネジメントシステム
ISMSはセキュリティに関する認証の一つですが、ISMSそのものがセキュリティ対策を行使してくれるわけではありません。
ISMSはその名前にもある通り、その組織において適切な情報セキュリティに関するマネジメントシステムが行使されているかどうかを把握するためのものです。
ISMSの認証取得にあたって、正しい情報セキュリティ環境を構築し、それを継続することを促すのが、この認証の目的です。
ISMSとは？
情報セキュリティの三要素
ISMSにおいては、情報セキュリティを機密性、完全性、可用性の三要素から定義しています。
認可されていない個人やプロセスなどに対して、情報の使用や開示を認めない機密性、正確なシステムを有している完全性、認可された人物や組織が情報を使用したいとき、それが可能であるよう設計する可用性が、ISMSの認証取得には欠かせません。
ISMSとJIS Q 27001:2014
ISMSの認証取得において、重要な規格となるのがJIS Q 27001:2014です。ISMSの要求事項をまとめている規格であり、実施と継続を続ける上で大きな役割を果たします。
JIS Q 27001:2014の概要
JIS Q 27001:2014で定められている規定に則れば、どのような組織であっても共通したシステムを構築することを求めます。
適用範囲から引用規格、計画、評価方法に至るまで、適切なプロセスを実施しなければ認証を受けることはできません。
また、この規格は汎用性が非常に高く、常に変化するリスクに対して組織はどう対応すれば良いのか、システムをどう評価すれば良いのかについて、丁寧に用意してくれています。
ISMSの認証獲得を考えている場合には、この規格に準ずるのが懸命でしょう。
ISMSとPマークの違い
ISMS認証で求められるセキュリティを踏まえると、Pマークの取得にも似通った点があると感じる人もいるのではないでしょうか。
Pマークもまた情報セキュリティの上では重要な要素となってきますが、ISMSとは明確な違いを持っています。
Pマークが重視するのは、個人の権利を侵害しないための取り組みです。個人情報の取得に際して、企業は個人に対して利用目的を開示し、適正な利用を行うことを約束します。
これに対してISMSは、個人情報の安全性の確保に努めることはPマークと同様ですが、個人資産の機密性、完全性、可用性を維持することが目的です。
個人情報ではなく、会社の機密情報やテクノロジーに関する情報のやり取りが発生する場合、ISMSの取得が推奨されます。
ISMS・クラウドセキュリティ認証とは
近年、従来のシステム活用に加え、クラウドプラットフォームの活用も各企業では進んでいます。
これに伴い、セキュリティ対策の様相も日々変化しつつあり、クラウドに特化したセキュリティ認証も登場しました。
ISO/IEC 27017が規定
クラウドセキュリティ認証はISO/IEC 27017が規定した、クラウドサービスを安心して利用するための認証システムです。
クラウド運用に伴う情報漏洩やサイバー犯罪をあらかじめ防ぐため、クラウドサービスを利用する事業者、そしてクラウドサービスを提供する事業者に向けて制定されています。
これはISMSを認証していることが前提としているため、単体での取得はできません。ISMSを認証していて、尚且つクラウド利用が業務に発生する場合、取得が推奨されています。
クラウドセキュリティ認証のメリット
クラウドセキュリティ認証を実施することで、セキュリティ対策を徹底して行っていると第三者に公言できるため、ブランド価値につながります。
クラウド利用はセキュリティの脆弱性が懸念されることもありますが、認証を取得すれば、クラウド利用における不安を取り除けるでしょう。
また、クラウドサービス利用者にとってはセキュリティレベルの高いクラウド運用体制を構築できるため、効率的なセキュリティ強化を実現できます。
クラウドセキュリティ認証のメリット
おわりに
情報セキュリティ対策は各企業で進んでいますが、ISMSの取得はそれに大きく貢献してくれます。セキュリティの強化を検討している場合、ISMSの取得に向けた施策を進めていくことも有効です。
