情報セキュリティ管理とは？

情報セキュリティ管理の意味

サービスに関わる情報資産の機密性・完全性・可用性を維持するため、方針を定め、リスクを評価し、管理策を実施し、有効性を評価して改善するプロセス。SMSの一部としても要求される。

情報セキュリティ管理の具体例

情報セキュリティ方針を経営層が承認し、アクセス権の付与基準、供給者への要求事項、インシデント時の報告経路を定めて運用する。

情報セキュリティ管理は試験でどう引っ掛けられる？

情報セキュリティインシデントも、サービスマネジメント上はインシデント管理の記録・対応の枠組みで扱い、必要に応じて専門体制へエスカレーションする。別建てで完全に切り離すのではない。

情報セキュリティ管理と関連する用語

• アクセス管理
• CSIRT

情報セキュリティ管理が出た過去問

• 事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判…

  正解：機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。

  要点：入退室の認証は共通番号でなく個人単位で識別・記録する

  共通の暗証番号で入室していると、誰がいつ入退室したのかを個人単位で識別・記録できず、番号の共有によって権限の無い者にも容易に伝わってしまう。JIS Q 27002が求める入退管理では個人ごとに認証し記録を残すことが必要なので、この状況は指摘事項となる。

  出典：令和1年度 春期 応用情報技術者試験 午前 問60（IPA）

• 情報セキュリティ管理基準（平成28年）を基に、情報システム環境におけるマルウェア対策の実施状況について監査を実施した。判明したシステム運用担当者の対応状況のうち…

  正解：マルウェア検出のためのスキャンを実施した上で、組織として認可していないソフトウェアを使用している。

  要点：未認可ソフトの使用はマルウェア対策上の指摘事項

  組織として認可していないソフトウェアの使用は、脆弱性やマルウェア混入の経路となるため、マルウェア対策の管理基準では禁止されている。スキャンを実施していても、未認可ソフトの利用そのものが統制上の問題なので、指摘事項として報告書に記載すべきである。

  出典：令和3年度 春期 応用情報技術者試験 午前 問58（IPA）

• 重要情報の取扱いを委託する場合における，委託元の情報セキュリティ管理のうち，適切なものはどれか。

  正解：情報の安全管理に必要な事項を事前に確認し，それらの事項を盛り込んだ上で委託先との契約書を取り交わす。

  要点：委託先の安全管理要件は事前に確認し契約に明記する

  委託元は委託先任せにせず、安全管理に必要な要求事項をあらかじめ整理し、契約書に明記した上で委託する責任を負う。契約後も遵守状況を継続的に確認することが求められる。

  出典：平成28年度 春期 応用情報技術者試験 午前 問38（IPA）