前回まで何度か登場した「ISMS(情報セキュリティマネジメントシステム)適合性評価制度」における「ISMS認証基準」について、今回は少し解説させていただく。
ISMS認証基準はVer.2.0へ
BS7799part2をもとに、日本の情報セキュリティ標準として制定されたISMS認証基準は、 去る4月21日にVer.2.0が発表された。これは、「時代に適合したものであり続けるために(中略)適宜見直し及び改訂されるものである。」という、(財)日本情報処理開発協会(JIPDEC)の指針に沿って改定されたもので、2001年4月に発表のパイロット版(Ver.0.8)から数えて3代目となる(なお、Ver.2.0の発表に伴い、2002年4月より運用されているVer.1.0は2004年9月30日をもって廃止される予定)。2002年度に本格運用を開始して以来、わずか1年余りの間に、認証取得済み組織の数が130に上ることから考えても、このISMS認証基準が、現在の日本の情報セキュリティマネジメントシステム基準の中心となっているといっても過言ではない。
ISMS認証基準とは?
それでは、今回のテーマであるISMS認証基準の内容について説明する。
これらの詳細管理項目は、ISMSの対象となる組織や事業の性質によって、適用できないあるいは関係がないと判断した場合、「適用宣言書」にその旨を記載した上で、適用除外とすることができる。ただし、きちんとしたリスクアセスメントの結果として、適用除外の判断をした場合に限り、適用除外が認められるのであって、経済的あるいは時間的な理由では、認められないことは言うまでもない。
![]() | ||||||||||||||||||||||||||||||||||
|
![]() | |||||||||||||||||||||||||||||||||
![]() | ||||||||||||||||||||||||||||||||||
|
最後に
実際にISMS認証を取得するか否かは別として、ISMS認証基準が、組織の情報セキュリティ対策実施の一つの指針となることは確かである。ISMS認証基準の各要求事項を確認し、対応していくだけでも充分役に立つ。ただし、ISMS認証基準には、レベル(度合い)に関する基準はない。どこまでのレベルの対策を実施するかは、各組織が、適切なリスク管理のもと、自分たちで決めなければならない。
なお、ISMS認証基準(Ver.2.0)の本文をご覧になりたい方は、前出のJIPDECのホームページ(http://www.jipdec.jp/)に全文が掲載されているので、是非参照いただきたい。
CNET Japanの記事を毎朝メールでまとめ読み(無料)
ZDNET×マイクロソフトが贈る特別企画
今、必要な戦略的セキュリティとガバナンス
ものづくりの革新と社会課題の解決
ニコンが描く「人と機械が共創する社会」
住環境に求められる「安心、安全、快適」
を可視化するための“ものさし”とは?