情報セキュリティマネジメント
このノートの問いがそのまま復習カードになり、忘れかけたころに出題されます。
シラバス案 Ver.0.1 の小分類 6-24-2「情報セキュリティマネジメント」（大分類 6：セキュリティ／中分類 24：情報セキュリティマネジメント）。
2026-09-26 にシラバス本文と突合済み。
0. 何を押さえるか
情報セキュリティは、ソフトを入れて終わりではなく、組織として回し続ける仕組みです。
それを情報セキュリティマネジメントと呼びます。
| 何を | どうするか | 詳しくは |
|---|---|---|
| 情報資産 | 何を守るのかを洗い出す | リスクマネジメント |
| リスクマネジメント | どんな危険がどれだけあるかを見積もり、対応を決める | リスクマネジメント |
| 情報セキュリティポリシー | 組織としての決まりを定め、それに沿って情報を管理する | 情報セキュリティ諸規程 |
| 情報セキュリティインシデント | 起きてしまったら、決めた手順で対応し、報告する | 情報セキュリティの制度 |
この仕組みをPDCA サイクルで回し続けるのが要点です。
脅威も業務も変わり続けるので、一度決めたら終わり、にはなりません。
1. 情報セキュリティマネジメントの考え方
根拠: シラバス 6-24-2
情報セキュリティマネジメントとは？
組織が、守るべき情報資産を明らかにし、リスクに応じた対策を決め、
それを継続的に運用・改善していく取組み
一度対策して終わりではなく、PDCA で回し続ける。
| 何をするか | |
|---|---|
| Plan | リスクを評価し、方針と対策を決める |
| Do | 対策を導入・運用する |
| Check | 効果を監視し、点検・監査する |
| Act | 見直して改善する |
ISMS とは？ 何の規格に基づくか？
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）
＝ 情報セキュリティマネジメントを組織的に運用する仕組み
国際規格 ISO/IEC 27001（国内規格は JIS Q 27001）が要求事項を定めている。
第三者機関の審査を受けて、ISMS 認証を取得できる。
取引先に「適切に管理している」ことを示す手段になる。
情報資産とは？
組織にとって価値があり、守るべき情報と、それを扱うもの
- 顧客情報、営業情報、技術情報、人事情報などのデータ
- 紙の文書
- それを扱う情報システムやコンピュータ、記録媒体
紙の書類も情報資産——電子データだけが対象ではない。
情報セキュリティポリシーに基づく情報の管理とは？
組織が定めた情報セキュリティポリシーに沿って、情報を扱うこと
- 情報の重要度に応じて、誰が見てよいか・持ち出してよいかを決めておく
- 個人の判断で扱いを変えない
「自分は大丈夫だと思った」は通らない。
ルールを知り、それに従うことが、一人ひとりに求められる。
リスクマネジメントは、情報セキュリティマネジメントの中でどんな役割か？
「どこに、どれだけ対策するか」を決める根拠
対策の予算も人手も限られている。
すべてを同じ強さで守ることはできないので、
- 情報資産ごとのリスクの大きさを見積もり
- 大きいものから対応を決める
これがリスクマネジメント。
手順の詳しい中身は リスクマネジメント で扱う。
2. 情報セキュリティインシデント
根拠: シラバス 6-24-2
情報セキュリティインシデントとは？ 例は？
情報セキュリティを脅かす、望ましくない出来事
- マルウェアへの感染
- 不正アクセス、情報の漏えい
- Web サイトの改ざん
- メールの誤送信、PC や USB メモリの紛失
- システムの停止
うっかりの事故もインシデント——攻撃だけが対象ではない。
インシデントに気付いたとき、一人ひとりがまずすべきことは？
自分で判断して片付けず、決められた窓口へすぐに報告する
- 様子見や隠ぺいをしない（早いほど被害を小さくできる）
- 独断で証拠となるデータを消したり、端末を初期化したりしない
- 定められた手順（連絡先・初動）に従う
報告を受けた組織は、被害の封じ込め → 原因の除去 → 復旧 → 再発防止の順に対応する。
インシデントの報告をためらわせないために、組織は何をすべきか？
報告した人を責めない文化と、分かりやすい報告の手順を用意する
「怒られる」と思えば、人は報告を遅らせたり隠したりする。
遅れた報告は被害を広げるので、責めるより早く知ることを優先する。
- 窓口と連絡手段を、全員が知っている状態にする
- 訓練で、報告の手順を実際に試しておく