情報セキュリティマネジメントシステム（ISMS）へのイントロダクション

すべての技術主導のビジネスプロセスは、セキュリティとプライバシーの脅威にさらされています。高度な技術はサイバーセキュリティ攻撃に対抗する能力がありますが、それだけでは不十分です：組織は、ビジネスプロセス、ポリシー、および労働力の行動がこれらのリスクを最小化または軽減することを保証する必要があります。

この道は簡単でも明確でもないため、企業は情報セキュリティ（InfoSec）のベストプラクティスに向かうための指針となるフレームワークを採用します。ここで情報セキュリティマネジメントシステムが登場します。さあ見てみましょう。

ISMSとは何ですか？

情報セキュリティマネジメントシステム（ISMS）は、セキュリティとリスクを体系的に管理するためのポリシーとコントロールのフレームワークです。これは、企業全体にわたる情報セキュリティを管理します。これらのセキュリティコントロールは、一般的なセキュリティ基準に従うことも、業界に特化したものになることもあります。

例えば、ISO 27001は、ISMSポリシーとコントロールを作成、管理、実施する方法を詳細に示す仕様のセットです。ISOは特定の行動を義務付けていないため、適切なISMS戦略を開発するためのガイドラインを提供しています。

ISMSのフレームワークは通常、リスク評価とリスク管理に焦点を当てています。リスク軽減とコスト（リスク）のバランスを取るための構造化されたアプローチと考えてください。

医療や金融のような厳しく規制された業界で運営されている組織は、広範なセキュリティ活動とリスク軽減戦略を必要とする場合があります。

(全体のITセキュリティポリシー内でInfoSec管理を考慮してください。)

情報セキュリティにおける継続的改善

ISMSは包括的な情報セキュリティ管理能力を確立するように設計されていますが、デジタルトランスフォーメーションは、組織がセキュリティポリシーとコントロールの継続的な改善と進化を採用することを要求します。

ISMSによって定義された構造と境界は、限定された期間にのみ適用される場合があり、労働力は初期段階でそれを採用することに苦労するかもしれません。組織の課題は、リスク、文化、リソースが変化するにつれて、これらのセキュリティコントロールメカニズムを進化させることです。

ISO 27001によれば、ISMSの実施は、ISMプロセスの継続的改善のための計画-実行-確認-行動（PCDA）モデルに従います：

• 計画。問題を特定し、セキュリティリスクを評価するための有用な情報を収集します。問題の根本原因に対処するために使用できるポリシーとプロセスを定義します。情報セキュリティ管理能力の継続的改善を確立するための方法を開発します。
• 実行。考案されたセキュリティポリシーと手順を実施します。実施はISO基準に従いますが、実際の実施は、会社が利用可能なリソースに基づいています。
• 確認。ISMSポリシーとコントロールの効果を監視します。有形の結果とISMプロセスに関連する行動面を評価します。
• 行動。継続的改善に焦点を当てます。結果を文書化し、知識を共有し、将来のISMSポリシーとコントロールのPCDAモデル実施の反復に対処するためのフィードバックループを使用します。

人気のあるISMSフレームワーク

ISO 27001は情報セキュリティのリーダーですが、他のフレームワークも貴重なガイダンスを提供します。これらの他のフレームワークはしばしばISO 27001または他の業界特有のガイドラインから借用します。

• ITILは、広く採用されているサービス管理フレームワークで、情報セキュリティ管理（ISM）と呼ばれる専用コンポーネントがあります。ISMの目標は、ITとビジネスのセキュリティを調整し、すべての活動でInfoSecが効果的に管理されることを確保することです。
• COBITは、ITに焦点を当てた別のフレームワークで、資産管理と構成管理が情報セキュリティやほぼすべての他のITSM機能の基盤であることに多くの時間を費やしています。

ISMSセキュリティコントロール

ISMSセキュリティコントロールは、ISO 27001標準に指定されている情報セキュリティの複数のドメインにまたがります。カタログには、次の目的を持つ実用的なガイドラインが含まれています：

• 情報セキュリティポリシー。全体的な方向性とサポートは、適切なセキュリティポリシーを確立するのに役立ちます。セキュリティポリシーは、変化するビジネスとセキュリティニーズの文脈で作成された、あなたの会社に固有のものです。
• 情報セキュリティの組織。これは、サイバー攻撃、内部脅威、システムの故障、データ損失など、企業ネットワーク内の脅威とリスクに対処します。
• 資産管理。このコンポーネントは、企業のITネットワーク内外の組織資産をカバーします。これには、機密ビジネス情報の交換が含まれる場合があります。
• 人的資源のセキュリティ。あなたの人員、活動、および人的エラーに関連するポリシーとコントロール、内部脅威からのリスクを軽減するための措置、意図しないセキュリティの失敗を減らすための労働力トレーニングが含まれます。
• 物理的および環境的セキュリティ。これらのガイドラインは、物理的なITハードウェアを損傷、喪失、または不正アクセスから保護するためのセキュリティ対策をカバーします。多くの組織がデジタルトランスフォーメーションを利用し、オフプレミスの安全なクラウドネットワークに機密情報を維持している一方で、その情報にアクセスするために使用される物理デバイスのセキュリティも考慮する必要があります。
• コミュニケーションと運用管理。システムは、セキュリティポリシーとコントロールを尊重し、維持しながら運営されなければなりません。サービスの提供や問題管理などの日常的なIT業務は、ITセキュリティポリシーとISMSコントロールに従うべきです。
• アクセス制御。このポリシードメインは、認可された人員へのアクセスを制限し、異常な行動のためにネットワークトラフィックを監視することに関係しています。アクセス権は、デジタルおよび物理の両方の技術的手段に関連しています。個々の役割と責任は明確に定義されるべきであり、ビジネス情報へのアクセスは必要な場合にのみ可能であるべきです。
• 情報システムの取得、開発、維持。セキュリティのベストプラクティスは、ITシステムの全ライフサイクルにわたって維持されるべきであり、取得、開発、維持の各段階を含みます。
• 情報セキュリティおよびインシデント管理。エンドユーザーへの影響を最小限に抑える方法でIT問題を特定し、解決します。複雑なネットワークインフラ環境では、視覚的なインシデントメトリックを特定し、潜在的な問題を事前に軽減するために高度な技術ソリューションが必要になる場合があります。
• ビジネス継続管理。ビジネスプロセスへの中断を可能な限り回避します。理想的には、災害状況の後は、すぐに回復手順が続き、被害を最小限に抑えます。
• コンプライアンス。セキュリティ要件は、規制当局によって強制されなければなりません。
• 暗号化。機密情報を保護するための最も重要で効果的なコントロールの一つですが、それ自体では銀の弾丸ではありません。したがって、ISMSは、暗号化コントロールがどのように強制され、管理されるかを規定します。
• サプライヤー関係。第三者のベンダーやビジネスパートナーは、ネットワークおよび機密顧客データへのアクセスを必要とする場合があります。すべてのサプライヤーに対してセキュリティコントロールを強制することは不可能な場合がありますが、ITセキュリティポリシーと契約上の義務を通じて潜在的なリスクを軽減するための適切なコントロールを採用すべきです。

これらのコンポーネントとドメインは、InfoSecの成功に向けた一般的なベストプラクティスを提供します。これらはフレームワークによってわずかに異なる場合がありますが、これらのドメインを考慮し、調整することで、情報セキュリティに関して多くのことが提供されます。

関連する読み物

• BMCセキュリティとコンプライアンスブログ
• MITRE ATT&CKフレームワークの説明
• トップITセキュリティ、InfoSec & サイバーセキュリティカンファレンス
• 7つのビジネスクリティカルなITポリシーとその実施方法

これらの投稿は私自身のものであり、必ずしもBMCの立場、戦略、または意見を表すものではありません。