情 報 セキュリティマネジメントの 変 遷 と 課 題 1 原 田 要 之 助 概 要 情 報 セキュリティマネジメントは, 情 報 システムがビジネスに 用 いられて 以 来, 情 報 システムの 運 用 の 概 念 の 一 部 として 持 ち 込 まれた. 情 報 システムを 用 いてビジ ネスを 正 確 に, 必 要 の 原 則 に 基 づいて 管 理 し,かつ, 効 率 よく 処 理 するための 情 報 システムの 運 用 プロセスでもある.この 概 念 が 定 着 するまでにはさまざまな 試 行 錯 誤 が 繰 り 返 された. 情 報 システムの 応 用 範 囲 が 広 がり, 組 織 の 末 端 社 員 が 利 用 する ようになるにつれて, 情 報 セキュリティの 重 要 性 が 高 まり, 情 報 セキュリティマネ ジメントが 重 視 されるようになった.1990 年 代 には, 多 くの 大 企 業 で, 共 通 の 問 題 となったことから, 体 系 化 が 進 められ,さまざまなガイドラインが 作 成 された.こ の 中 では, 英 国 のDTIがとりまとめ, 英 国 の 国 内 規 格,さらには, 認 証 制 度 に 繋 が ったBS7799が 国 際 規 格 となり, 広 く 用 いられるようになった. 日 本 においても,2000 年 以 降,この 規 格 をベースとして 国 内 のさまざまな 情 報 セキュリティに 関 するガイ ドラインや 制 度 が 構 築 されている. 本 稿 では,2000 年 代 以 降 の 日 本 における 情 報 セ キュリティマネジメントがどのように 変 遷 を 概 観 し, 今 後 の 課 題 について 述 べてい く. 1 はじめに 情 報 システムは,ビジネスを 正 確 に, 素 早 く, 効 率 よく 処 理 する 目 的 で 導 入 されて, 利 用 され てきた.1980 年 代 には, 多 くの 大 企 業 が 情 報 システムを 用 いて,ビジネスの 管 理 コストの 低 減, ビジネスの 迅 速 化 に 用 いられ, 適 用 範 囲 を 広 げてきた.とくに,1980 年 代 後 半 には,マイケル ポーターの 競 争 の 戦 略 [1]で 提 示 されたように, 情 報 システムが 顧 客 管 理 に 用 いられて, 企 業 の 競 争 優 位 の 戦 略 的 な 手 段 として 利 用 されるようになった. 1990 年 代 には,チャンピーらがビ ジネスプロセスリエンジニアリング[2]を 提 唱 した.これは,それまでの 人 手 による 処 理 の 機 械 化 という 概 念 から,ビジネス 自 体 を 再 定 義 して, 情 報 システムの 速 度, 管 理 できる 項 目 数, 検 索 機 能 などを 前 提 として, 人 手 によらないビジネスのシステム 化 を 図 るものである.この 結 果, 新 しい 情 報 システムをベースとしたビジネスモデルが 多 数, 考 案 されて, 購 買 や 取 引 の 形 態 が 劇 的 に 変 化 した.2000 年 代 には, 情 報 システムがインターネットを 介 して,さまざまな 企 業 間 で 接 1 情 報 セキュリティ 研 究 科 教 授 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 93
続 されて, 企 業 の 情 報 システムへの 依 存 が 大 きく 進 んだ[3]. 情 報 セキュリティの 位 置 づけは, 情 報 システムがビジネスで 利 用 されるようになってから, 大 きく 変 わっていった. 情 報 システムの 開 発 では, 情 報 システムが 外 部 から 見 えないという 秘 匿 性 があり, 心 ないプログラマの 不 正 なプログラムによる 不 正 行 為 が 起 きるようになった.これを 防 ぐために,さまざまな 対 策 例 えば 内 部 統 制 の 強 化 などが 行 われた.ただし, 情 報 システムは 構 築 時 の 技 術 的 対 策 だけでは 十 分 でなく, 運 用 における 対 策 も 重 要 となることから,システム 監 査 などが 用 いられ 発 展 することになった.とくに,1990 年 以 降 情 報 システムが 経 営 に 必 須 なも のとして, 認 知 度 が 高 まると,この 問 題 はより 深 刻 化 した. 例 えば,ANAの 発 券 システムのネッ トワークシステムの 些 細 なミスによるシステムダウンが 航 空 機 の 正 常 な 運 航 をできなくなった り, 銀 行 のシステムが 止 まると 企 業 間 の 決 済 ができなくなったりと,より, 経 営 に 重 大 な 影 響 を 及 ぼすようになった.このような 背 景 から,OECDが1992 年 に 情 報 セキュリティのガイドラインを 策 定 したことは, 経 営 にとって 情 報 セキュリティが 重 要 な 課 題 であることを 示 唆 したと 言 えよう. 以 来, 情 報 セキュリティマネジメントは, 情 報 システムの 運 用 の 一 部 の 概 念 として 持 ち 込 まれた. 情 報 システムを 用 いてビジネスを 正 確 に, 必 要 の 原 則 に 基 づいて 管 理 し,かつ, 効 率 よく 処 理 す るための 情 報 システムの 運 用 プロセスの 一 部 と 考 えられたからである. 情 報 セキュリティマネジ メントの 概 念 が 独 立 して 定 着 するまでにはさまざまな 試 行 錯 誤 が 繰 り 返 された. 情 報 システムの 応 用 範 囲 が 広 がり, 組 織 の 末 端 社 員 が 利 用 するようになるにつれて, 情 報 セキュリティの 重 要 性 が 高 まり, 情 報 セキュリティマネジメントが 重 視 されるようになった. 本 稿 では 情 報 セキュリティマネジメントの 進 展 をルーツである 情 報 システムとビジネスと の 関 係 から 紐 解 いていくことのより, 情 報 セキュリティの 課 題 がどのように 変 化 してきたかを 分 析 して 今 後 の 課 題 や 方 向 性 を 探 る. 2 社 会 の 変 化 と 情 報 セキュリティについて 2.1 社 会 に 影 響 を 与 えたITの 進 歩 1990 年 以 降,IT 技 術 はさまざまに 広 がりを 見 せている 2000 年 以 前 のIT 技 術 は 要 素 技 術 の 開 発 がベースであった. 例 えば,ネットワークをADSLから 光 にして, 高 速 化 を 図 るなどである.その ため, 技 術 開 発 が 中 心 でその 利 用 面 からの 視 点 がなおざりにされたため,インフラができても 十 分 に 活 用 されないなどのミスマッチが 起 きていた.しかし,2000 年 以 降 は, 利 用 面 からのアプロ ーチがITをリードするようになった. 例 えば,スマートフォンが 広 がりLTEと 呼 ばれる 高 速 な 無 線 の 情 報 通 信 ネットワークの 導 入 を 牽 引 するなどである.ここでは,2000 年 以 降, 普 及 したIT 関 連 技 術 を 以 下 に 示 す. クラウド スマートフォン 検 索 サービスとこれを 核 としたビジネスの 広 がり 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 94
電 子 ショッピングの 拡 大 ( 楽 天,Amazon) 放 送 のデジタル 化 メディアのデジタル( 写 真 や 映 像 が 高 精 細 なデジタルで 保 存 され, 流 通 するよ うになっている) 地 球 人 口 の 半 数 以 上 が 携 帯 電 話 を 利 用 ( 発 展 途 上 国 の 利 用 率 が 高 まる) SNS の 広 がり 高 速 大 容 量 ブロードバンド 組 込 コンピューターの 広 がり 車 の 自 動 運 転 スマートシティ(スマートグリッド スマートメータ) 電 子 マネー(Bit Coin など)の 拡 大 入 退 出 管 理 システムの 普 及 監 視 カメラのデジタル 化 と 広 がり なお,IT 技 術 の 今 後 の 進 歩 については,マクロ 予 測 をベースに 考 えておく 必 要 がある. CPU やメモリの 速 度,ハードディスクの 容 量,ネットワークの 速 度 については, 技 術 的 な 限 界 があると 言 われながらも 継 続 的 に 進 歩 していることが 分 かる[3].これを 図 2-1 に 示 す. 例 えば, 半 導 体 の 内 部 の 素 子 数 については, 内 部 の 物 理 的 な 制 約 があって 技 術 的 限 界 に 達 して 増 加 しなくなるといつも 言 われ 続 けてきた.しかし, 結 果 的 には, 様 々な 技 術 が 開 発 されて, 制 約 を 克 服 してきている.したがって, 社 会 科 学 的 には, 図 2-1 のマクロの 推 移 モ デルをベースに 今 後 の 将 来 像 を 想 定 しておくことが 必 要 であろう. (bbs)(byte)(hz) CPU 100G 18Ghz 13Ghz ( 実 行 速 度 ) 9.0Ghz 1T 10T 10G 10G 1T 1G 233Mhz 1.4Ghz 3.2Ghz 4.4Ghz 1T B 2TB 1.5TB 3TB 4TB FTTH(1Gbps) ストレージ 容 量 ネットワーク 速 度 160 GB 100M 10G 100M 12 GB FTTH(100M bps) FTTH(200Mbps) 2.1 GB 1M 100M 10M ISDN(64Kbps) ADSL(1.5M bps) ADSL(24M bps) 2000 年 2005 年 2010 年 図 2.1 CPU,ストレージ,ネットワークの 進 歩 は 継 続 している ( 文 献 [3]より) 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 95
2.2 社 会 状 況 の 変 化 社 会 情 勢 はこの10 年 に 大 きく 変 化 している. 大 きなトピックとしては, 以 下 のような 項 目 が 挙 げられるであろう.まず, 地 球 温 暖 化 が 進 み,これに 対 処 するために 情 報 システムが 広 く 用 いられるようになってきている. 現 在 は,メッシュに 張 り 巡 らされた 雨 量, 風 速, 温 湿 度 を 始 め, 空 気 中 の 成 分 分 析 などのセンサーから 集 められた 気 象 情 報 や 気 象 衛 星 か らのモニタリング 情 報 を 元 にして 気 象 の 現 状 を 把 握 し,スーパーコンピュータを 用 いて 数 時 間 先 の 気 象 が 予 測 され,メディアやインターネットなどを 通 じて 広 く 活 用 されてい る.とくに, 異 常 気 象 により 局 地 的 な 洪 水 などの 災 害 を 事 前 に 予 知 して 生 命 や 財 産 を 守 るのに 広 く 活 用 されるようになっている.また,インターネットの 高 速 化. 広 帯 域 化 に より,クラウドサービスが 広 く 使 われるようになった.この 結 果, 企 業 にとっては, 情 報 システムを 最 寄 りの 事 業 所 などに 設 置 する 必 要 がなくなった.すなわち, 大 企 業 のみ ならず, 中 小 企 業 もインターネットを 企 業 間 の 情 報 流 通 や 顧 客 からの 直 接 の 受 発 注 やコ ミュニケーションに 活 用 するようになった.この 結 果, 企 業 規 模 や 地 理 的 な 条 件 が 企 業 間 競 争 の 制 約 にならなくなった.さらに, 携 帯 電 話 などを 含 めたITの 活 用 はグローバル に 広 がり 経 済 的 な 恩 恵 をグローバルに 広 げただけではなく,テロリストのような 集 団 にも 広 く 活 用 されるなど, 弊 害 も 大 きくなっている. 今 後 の 社 会 を 考 えていく 上 で, 情 報 システムを 付 加 的 なものではなく, 社 会 を 構 成 する 不 可 欠 の 要 素 と 見 なすことが 求 め られていると 言 えよう. 社 会 に 影 響 を 与 えたトピックを 以 下 に 示 す. 地 球 環 境 の 変 化 ( 温 暖 化 や 異 常 気 象 )と 自 然 災 害 の 増 加 IT によるモニタリ ングシステムと 減 災 に 向 けた 情 報 共 有 グローバル 化 ( 経 済, 取 引, 流 通, 旅 行, 情 報, ) 企 業 への IT の 普 及 ( 全 企 業 の 99%が PC を 活 用 ) テロの 頻 発 テロリストも IT を 利 用 中 国,インド,ロシア,ブラジル, 南 アフリカなどの 経 済 発 展 携 帯 電 話 や インターネットを 利 用 EU の 拡 大 (27 カ 国 ) 2.3 関 連 法 制 度 の 変 化 社 会 がITを 広 く 活 用 するようになり, 社 会 経 済 のさまざまな 分 野 で 使 われるようになると,さ まざまな, 社 会 的 な 問 題 が 起 きる. 例 えば, 個 人 情 報 はITが 広 く 活 用 される 前 には, 紙 で 管 理 さ れていた.そのため, 紙 がコピー 機 で 複 写 されて 持 ち 出 されるリスクはそれほど 高 くなかった. また, 一 度 に 持 ち 出 される 量 も 限 られていた. 一 方, 小 型 のUSBメモリには 数 ギガの 容 量 のもの もあり,これには,1,000 万 人 を 超 える 個 人 情 報 を 記 録 できる.また,コピーする 手 間 も, 複 写 と 比 べると 極 めて 簡 単 である.したがって, 企 業 などが, 紙 で 実 施 していた 管 理 方 法 をそのまま 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 96
USBの 管 理 に 当 てはめると 齟 齬 がでてしまう. 個 人 情 報 はデータベース 化 されるとさまざまな 活 用 が 可 能 となり, 多 くの 企 業 が 利 用 するようになるのは 明 らかだ.このような 背 景 で, 個 人 情 報 保 護 法 が 施 行 されたのは 自 然 な 成 り 行 きと 言 えよう.ただし, 個 人 情 報 保 護 法 も, 完 全 施 行 から 10 年 経 って,ビッグデータを 扱 う 法 律 としては 不 備 が 目 立 ってきたため,2015 年 に 向 けて 改 正 が 進 められている. とくに,この10 年 のITに 関 連 した 法 律 を 見 てみると, 多 くの 社 会 問 題 が 起 きて, 既 存 の 法 律 で は 十 分 に 被 害 者 の 権 利 を 守 れない, 違 反 事 項 にあてはめられないなどのため 逮 捕 や 規 制 できない などで 立 法 化 されたものが 多 いと 言 えよう. さらには, 情 報 セキュリティに 関 連 するものが 多 いのも 特 徴 である.とくに, 挙 げられるの は,2003 年 以 降 は,さまざまな 法 律 や 制 度 が 作 られている. 特 徴 的 なものを 以 下 に 示 す. 個 人 情 報 保 護 法 完 全 施 行 (2005) 金 融 商 品 取 引 法 の 内 部 統 制 報 告 書 制 度 (2007) 特 定 電 子 メールの 送 信 の 適 正 化 等 に 関 する 法 律 (2008) 不 正 競 争 防 止 法 の 改 正 (2011) 不 正 アクセス 禁 止 法 の 改 正 (2012) 不 正 指 令 電 磁 的 記 録 :ウイルス 作 成 罪 (2011) 著 作 権 法 改 正 (2012) プロバイダ 責 任 制 限 法 (2007) 情 報 セキュリティ 監 査 制 度 (2003) 情 報 セキュリティガバナンス 制 度 (2005-2010) 2.4 事 件 事 故 について 2005 年 以 降 の10 年 間 の 情 報 セキュリティに 関 連 する 事 件 事 故 を, 機 密 性, 完 全 性, 可 用 性 の3つの 観 点 から 見 ていく.まず, 機 密 性 については, 個 人 情 報 漏 えい 事 件 だけに 限 定 しても,さまざまな 事 件 や 事 故 が 起 きている.JNSAは2005 年 以 降,10 年 間 継 続 して 個 人 情 報 漏 えいについて 調 査 を 実 施 してきている.2011 年 からは 情 報 セキュリティ 大 学 院 大 学 も 協 同 で 調 査 を 実 施 している.この 調 査 結 果 を 見 ると, 事 故 件 数 が 減 少 していないことが 分 かる [4]. 機 密 性 ( 個 人 情 報 漏 えい 関 連 ) Winny 利 用 PCのウイルス(ワーム)(2005) Sony 子 会 社 へのハッキングによる 個 人 情 報 の 盗 みだし(2011) 米 復 員 軍 事 省 の 管 理 する 退 役 軍 人 の 約 2,000 万 件 の 個 人 情 報 漏 えい(2006) 自 衛 隊 のイージス 艦 機 密 情 報 内 部 漏 えい 事 件 (2007) 標 的 型 攻 撃 ( 事 件 名?) ベネッセによる 大 規 模 個 人 情 報 の 持 ち 出 し 事 件 (2014) 可 用 性 完 全 性 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 97
全 日 空 の 発 券 システムで 障 害 (2007) ファーストサーバの 障 害 とデータ 消 失 (2012) みずほ 銀 行 システム 障 害 (2011) Gumblerウイルスによる 改 ざん 被 害 (2009) 東 京 証 券 取 引 所 システム 障 害 (2005) 311 東 日 本 大 震 災 に 伴 う 情 報 システムへの 被 害 (2011) 2.5 情 報 セキュリティのマネジメントの 変 遷 情 報 セキュリティのマネジメントは, 時 代 の 技 術 ( 例 えば, 携 帯 端 末 やスマートフォン で 企 業 の 情 報 が 使 われるようになってMDMが 必 要 となった)や 時 代 が 要 請 する 規 範 ( 例 えば, 個 人 情 報 保 護 法 が 制 定 されて 以 降, 情 報 管 理 が 厳 しく 実 施 されるようになったなど)によ って 大 きく 変 わってきている. (1)1990 年 代 前 半 のセキュリティマネジメント メインフレームの 情 報 セキュリティ 1990 年 代 は, 企 業 の 情 報 システムは 基 幹 業 務 においてはマインフレームが 使 われており, 周 辺 業 務 から,コストパフォーマンスのよいミニコンやオフコンが 利 用 されるようにな った.これらの 情 報 システムは,マシン 室 に 設 置 されて 情 報 システム 部 門 が 管 理 するこ とが 多 かった.そのため, 情 報 セキュリティのマネジメントは, 情 報 システム 部 門 が 実 施 することが 多 く,マシン 室 の 物 理 的 なセキュリティや 企 業 内 の 情 報 システムの 一 部 の 利 用 者 に 対 するIDやパスワード 管 理 が 中 心 となっていた.ネットワークは 専 用 回 線 でマ シンと 接 続 することが 多 く, 企 業 の 情 報 の 漏 えい 対 策 として, 回 線 への 暗 号 化 やリモー トの 端 末 からの 情 報 漏 えい 防 止 が 中 心 となっていた. 黎 明 期 のパソコンと 情 報 セキュリティの 管 理 パソコンは, 大 企 業 では, 部 門 内 部 の 出 張 費 や 経 費 の 計 算 処 理 などに 使 われていたた め, 全 社 的 な 情 報 セキュリティの 対 象 とされることは 少 なかった. 一 部 の 業 務 では,パ ソコンを 端 末 としてメインフレームに 接 続 することが 一 部 で, 始 まっていた.しかし. パソコンの 利 用 は 専 用 端 末 としての 使 い 方 に 限 られていた.そのため,メインフレーム 側 で 管 理 すれば 十 分 という 認 識 が 一 般 的 であった.すなわち, 黎 明 期 のパソコンについ ては, 情 報 システム 部 門 では 情 報 セキュリティの 対 策 の 対 象 とはされていなかった 中 小 企 業 のパソコン 利 用 の 始 まり 中 小 企 業 において, 能 力 の 高 まってきたパソコンを 用 いて 企 業 会 計, 受 発 注 管 理, 在 庫 管 理 などに 使 われ 始 めた. 能 力 の 高 いパソコンと 通 常 のパソコンをネットワーク 接 続 して 利 用 するパソコンLANが 先 駆 的 に 使 われ 始 めた.すなわち, 中 小 企 業 においては,パ ソコンによる 情 報 の 完 全 性 や 可 用 性 については, 企 業 全 般 に 影 響 を 与 えるため, 全 社 的 な 情 報 セキュリティの 確 立 が 必 要 とされたが, 対 策 に 多 額 の 費 用 を 支 出 するまでには 至 らなかった. 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 98
パソコン 通 信 とインターネットの 利 用 個 人 を 中 心 に 個 人 のパソコンから, 電 子 メールを 送 受 したり 電 子 掲 示 板 に 意 見 を 表 明 するパソコン 通 信 2 がはやり 始 めた. 一 部 の 企 業 がパソコン 通 信 をビジネスで 使 い 始 め たが, 多 くは, 電 子 メールの 利 用 にとどまった. 一 方,1993 年 頃 からそれまで 大 学 や 研 究 機 関 が 主 に 利 用 していたインターネットの 利 用 がIT 企 業 を 中 心 に 広 がり 始 めた. 今 ま では, 海 外 の 情 報 を 調 べるためには 多 大 な 費 用 が 掛 かっていたが, 情 報 セキュリティマネジメントのガイドラインの 状 況 英 国 の DTI(Department of Trade and Industry)のもとで, 英 国 の 大 企 業 が 集 まって 情 報 セ キュリティの 管 理 策 をまとめた.これらの 企 業 は,ネットワークを 接 続 したり, 情 報 を 交 換 したりするときに, 相 手 の 情 報 セキュリティの 管 理 状 況 が 分 からないままに, 自 社 の 機 密 情 報 を 相 手 に 渡 せない.そこで, 企 業 で 共 通 に 実 施 されているベースラインとしてのセ キュリティ 管 理 について 1992 年 に 調 査 を 実 施 して,その 結 果 をまとめた. 企 業 間 での 取 引 に 関 係 することから DTI がまとめ 役 となったものの, 国 による 規 制 にすると 貿 易 上 不 利 と な る の で, 自 主 的 な フ レ ー ム ワ ー ク と 考 え て, DISCPD0003 Code of practice for Information Security Management [5]とした.この 規 範 は, 様 々な 企 業 の 参 考 になるこ と, 規 範 を 維 持 管 理 する 必 要 があることから, 英 国 の BSI(British Standard Institute 英 国 規 格 協 会 )が, 英 国 の 規 格 BS7799-1 [6]として 引 き 継 ぐことになった.この 経 過 を 図 2-2 に 示 す. 1987-1990 1992 1995 I-4 baseline Controls (SRI) CCTA Baseline Controls DTI Industry Group DTI Code of Practice published BSI/DISC0007 Code of Practice published BS7799-1 published BOC Group, BT, M&S Midland Bank, Nationwide Building Society, Shell, and magnificent seven! DTI User Requirement Survey 図 2-2 1990-1995 年 の 情 報 セキュリティマネジメントガイドライン (2)1995-2000 年 代 のセキュリティマネジメント メインフレームの 情 報 セキュリティが 中 心 1995 年 以 降 は, 大 企 業 において,ダウンサイジングが 本 格 化 した.すなわち, 企 業 の 情 報 システムに 対 して, 小 型 のミニコンや 高 性 能 はワークステーションをネットワーク 2 パソコンを 電 話 回 線 によるダイヤルアップ 接 続 でホストマシンに 接 続 して, 共 同 利 用 する サービス 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 99
で 接 続 して 利 用 することで,メインフレームに 比 べてコストを 劇 的 に 節 約 できるように なった.また,パソコンもOSにネットワーク 対 応 機 能 がビルトインされ, 直 ぐにネット ワークに 接 続 して 使 われるようになった. 企 業 の 情 報 システムがネットワークに 依 存 す るようになった 始 まりでもある.このような 複 数 のシステムをネットワークで 接 続 する ことから,ネットワークセキュリティの 重 要 性 が 認 識 されるようになった. 周 辺 業 務 から,コストパフォーマンスのよいミニコンやオフコンが 利 用 されるように なった.これらの 情 報 システムは,マシン 室 に 設 置 されて 情 報 システム 部 門 が 管 理 する ことが 多 かった.そのため, 情 報 セキュリティのマネジメントは, 情 報 システム 部 門 が 実 施 することが 多 く,マシン 室 の 物 理 的 なセキュリティや 企 業 内 の 情 報 システムの 一 部 の 利 用 者 に 対 するIDやパスワード 管 理 が 中 心 となっていた.ネットワークは 専 用 回 線 で マシンと 接 続 することが 多 く, 企 業 の 情 報 の 漏 えい 対 策 として, 回 線 への 暗 号 化 やリモ ートの 端 末 からの 情 報 漏 えい 防 止 が 中 心 となっていた. ビジネスに 使 われるようになったパソコン 一 部 の 先 進 的 な 企 業 では, 安 価 になったパソコンが 企 業 内 に 広 がり, 各 個 人 がデスク に1 台 のパソコンを 持 ち, 電 子 メールや 部 門 の 共 通 ファイルなどにアクセスしたり, 企 業 の 基 幹 システムにアクセスしたりして 業 務 を 遂 行 するようになった. 一 方,パソコン は, 企 業 の 一 部 の 部 門 内 部 の 計 算 処 理 などに 使 われていたため, 情 報 システム 部 門 が 全 社 的 な 情 報 セキュリティの 対 象 にすることは 少 なかった. 基 幹 システムへアクセスする 利 用 者 管 理,パスワード 管 理,データベースの 管 理 に 限 られていた. 一 方,パソコンの 多 くは, 手 軽 にダイヤルアップでホストコンピュータに 接 続 できるよ うになっており, 電 子 メールや 外 部 のサーバと 接 続 して,ウイルスを 持 ち 込 み, 企 業 内 のパソコンに 広 がる 事 件 が 起 きるようになってきた.そのため, 企 業 では,これらのパ ソコンのウイルス 対 策 が 中 心 の 課 題 となっていた. 西 暦 2000 年 問 題 1998 年 以 降 の 情 報 システム 部 門 にとっての 一 番 の 課 題 は, 西 暦 2000 年 問 題 と 呼 ばれる, 情 報 システムのプログラムの 時 刻 表 記 が2000 年 になることで,プログラムの 誤 動 作 が 起 きる 可 能 性 に 注 目 が 集 まった.これは, 情 報 処 理 において 年 号 を 扱 う 際 に,4 桁 の 数 字 で はなく, 下 2 桁 とすることで 情 報 システムの 内 部 のメモリを 削 減 でき, 計 算 処 理 を 効 率 化 できたからである.また, 情 報 システムが 様 々なシステムと 接 続 されているため, 表 記 法 を 合 わせないと 誤 動 作 する 可 能 性 も 指 摘 された.そのため,2000 年 になる 前 に 利 用 し ている 情 報 システムの 全 てのプログラムを 洗 い 出 す 必 要 が 起 きた.これの 対 処 法 は,ソ ースプログラムに 立 ち 戻 って, 人 海 戦 術 で 調 べていくことであった. 情 報 システム 部 門 の 多 くのリソースがこの 対 応 に 回 されて, 情 報 セキュリティ 対 策 の 優 先 度 は 落 とす 企 業 や 組 織 が 多 かった. 情 報 セキュリティのガイドラインの 重 要 性 が 高 まる 多 くの 企 業 では,ホストコンピュータ 時 代 には, 限 られた 利 用 者 のみを 対 象 にセキュ 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 100
リティ 対 策 を 実 施 すればよかった.しかし,さまざまなビジネスに 情 報 システムが 利 用 されるようになり, 利 用 者 も 利 用 方 法 も 大 きく 変 わっていった.また, 多 くの 企 業 で, 遠 隔 地 から 情 報 システムにアクセスすることや 関 連 会 社 の 情 報 システムと 接 続 すること が 始 まったことから, 情 報 システムの 管 理 や 情 報 セキュリティを 組 織 内 部 で,どのよう に 管 理 するか,また, 複 数 に 情 報 システムの 管 理 をどのように 統 一 するかが 重 要 な 課 題 となり, 企 業 は 独 自 にセキュリティのポリシーを 策 定 したり,ガイドラインを 作 成 した りするようになった. 日 本 では, 情 報 システム 監 査 基 準 が 策 定 されて,セキュリティを 含 む 情 報 システムの 管 理 に 用 いられるようになった.また,2000 年 には 政 府 が, 情 報 セ キュリティの 管 理 を 高 める 観 点 から, 情 報 セキュリティのポリシーを 策 定 することを 企 業 にも 求 めるようになった. 一 方,BSI( 英 国 規 格 協 会 )では, 1995 年 当 時, 品 質 や 環 境 の 国 際 認 証 をリードして おり,BS7799-1も, 国 際 間 で 企 業 が 情 報 セキュリティを 国 際 間 で 取 り 決 めする 際 の 利 用 に 適 しているとして, 国 際 規 格 としてISOに 提 唱 した.しかし, 標 準 化 を 担 当 している ISO/IEC JTC 1/SC 27 - IT Security techniques ( 情 報 セキュリティの 標 準 化 を 担 当 し ているグループ)では, 主 要 国 が 基 準 の 必 要 性 に 疑 問 を 呈 して 反 対 した 結 果. 国 際 規 格 化 は 見 送 られた. なお, 日 本 では, 後 年,BS7799-1が 紹 介 されたときに,この 実 践 規 範 は 誰 もが 従 うべ きガイドラインと 誤 解 された.これは, 多 くの 日 本 企 業 は, 省 庁 などからのガイドライ ンを 利 用 するという 受 け 身 の 企 業 が 多 かったため,フレームワークなど 自 社 の 都 合 で 決 めるという 新 しい 概 念 の 取 扱 いに 苦 慮 したためである.また, 多 くの 企 業 担 当 者 にとっ ては, お 上 からの 通 達 の 方 が, 内 部 での 意 思 決 定 が 楽 であったという 企 業 カルチャに もよる.このように, 企 業 からの 要 請 が 多 かったため, 結 局 は, 経 済 産 業 省 が,JIS X.5080 [8]をベースに 情 報 セキュリティ 管 理 基 準 V.1[9]を2003 年 に 策 定 している. 1997 年 には 経 済 産 業 省 では, 情 報 処 理 サービス 業 情 報 システム 安 全 対 策 実 施 事 業 所 認 定 基 準 [10]を 策 定 して, 事 業 者 を 認 定 する 制 度 を 準 備 していたこともあり, 英 国 からの BS7799-1の 国 際 規 格 化 に 反 対 している.ただし, 日 本 企 業 の 一 部 には, 既 にDTIの 翻 訳 も 出 回 っており,セキュリティポリシの 策 定 や 内 部 のセキュリティ 基 準 としての 利 用 が 始 まっていた.さらに,グローバルな 企 業 にとっては, 国 内 と 国 外 で 規 格 が 異 なることへ の 反 対 もあった. 英 国 では,BS7799-1を 利 用 する 組 織 が 増 えており,この 規 格 をベースに 情 報 セキュリ ティを 構 築 していることの 認 証 ニーズが 顕 在 化 していた.そこで,1997 年 に 情 報 セキュ リティマネジメントの 要 求 条 件 をBS7799-2[12]として 制 定 し,この 要 求 条 件 をもとに 国 内 を 対 象 にした 認 証 制 度 を 開 始 した.これらの 規 格 は1999 年 に 一 部 改 訂 された.また, 各 国 とも, 企 業 が 情 報 セキュリティマネジメントの 国 際 規 格 を 必 要 としていることから, 2000 年 にBS7799-1が 国 際 規 格 ISOIEC7799:2000となることを 承 認 した.この 経 過 を 図 2-3 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 101
に 示 す. 1995 1996 1997 1998 1999 2000 BS7799-1 rejected by ISO (CA, F, DE, JP, KR, SE, CH, US voted No) Public Consultation on the need for a Benchmarking (ISMS) st5andard BS7799-2 ISMS spec. published BS7799-1 and 7799-2 revisions published ISO/IEC17799 (7799-1) input in 2000 Published in 2002 Response was overwhelming with 90% of the 700 organization responding a benchmarking scheme and 65% in favor of the third party certification Certification scheme developed (BSI/DISC) 7 図 2-3 1995-2000 年 の 情 報 セキュリティマネジメントガイドライン (3)2000-2005 年 代 のセキュリティマネジメント 企 業 の 情 報 処 理 量 の 拡 大 と 基 幹 システムのダウンサイジング 中 堅 企 業 ではパソコンとパソコンを 相 互 に 接 続 するローカルネットワーク(LAN)が 普 及 して 多 くの 従 業 員 がパソコンとネットワークに 接 続 されたサーバを 共 通 に 使 うことで, ビジネス 情 報 の 共 有 が 図 られ, 多 く 業 務 が 情 報 システムで 実 施 されるようになった.すな わち,パソコンとサーバによる 情 報 処 理 形 態 が 企 業 の 内 部 に 広 がっていった.さらに, 基 幹 システムを 大 型 のホストコンピュータからサーバとパソコンで 処 理 する 形 態 に 移 行 す る 企 業 も 増 えていった.この 現 象 はダウンサイジングと 呼 ばれ, 多 くの 企 業 に 広 がった. また, 戦 略 的 に 顧 客 を 囲 い 込 むために, 顧 客 情 報 を 情 報 システムのデータベースに 保 存 し て 使 うようになった. 企 業 の 従 業 員 の 多 くが 電 子 メールを 利 用 し,サーバにアクセスでき るようにするため, 情 報 システム 部 門 が 個 人 へのIDの 不 要 やアクセス 権 の 設 定 することに なった. ネットワーク 時 代 (インターネットのインパクト) 大 学 や 研 究 機 関 が 中 心 に 利 用 していたインターネットが 個 人 に 急 激 に 広 がったことや, インターネットをベースにした 新 しいビジネスモデルを 構 築 したベンチャー 企 業 のビジ ネスモデルが 既 存 企 業 のビジネスに 影 響 を 与 え 始 めた.とくに, 例 えば,AMAZONやYahoo などが 顧 客 への 物 販 ビジネスに 影 響 を 与 え 始 めた.そのため, 多 くの 企 業 が,インターネ ットをビジネスで 利 用 するようになった. また,インターネットの 利 用 拡 大 で,ネットワーク 機 器 が 劇 的 に 低 下 したことで,インタ ーネットプロトコルを 様 々なシステムの 接 続 にも 利 用 するようになった.そのため, 多 く の 企 業 で, 企 業 内 LANとインターネットを 接 続 する 形 態 が 急 激 に 伸 びた. 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 102
ネットワークセキュリティ ネットワークで 様 々な 情 報 システムを 接 続 することから,ネットワークに 関 する 情 報 セ キュリティが 注 目 された.とくに,インターネットは, 接 続 されたあらゆる 機 器 にアクセ スできるため, 企 業 にとっては, 内 部 の 情 報 を 保 護 する 必 要 がある.すなわち, 外 部 のイ ンターネットと 内 部 のネットワークを 接 続 する 境 界 には.ファイアーウォールを 設 置 して, 不 要 な 外 部 からのアクセスを 遮 断, 外 部 からのWebサーバへのアクセスを 許 可 するDMG( 非 武 装 地 帯 )の 設 定, 外 部 からのアクセスの 監 視 などのネットワークセキュリティが 重 要 な 課 題 となった.また, 外 部 から 内 部 の 情 報 システムにアクセスできるための,アクセス 制 御 も 重 要 なテーマとなった. 企 業 の 情 報 セキュリティマネジメントが 重 要 な 課 題 となる 企 業 では,ビジネスがネットワークに 接 続 されたパソコンやサーバに 移 行 した 結 果, 全 ての 従 業 員 にIDを 与 えたり,サーバへのアクセス 権 を 付 与 したりすることが 重 要 な 業 務 と なった.また,ネットワークの 機 器 の 接 続 や 設 定, 日 常 の 運 用 管 理, 監 視 不 正 利 用 対 策 などの 業 務 量 が 急 増 したため, 情 報 システム 部 門 で 対 応 が 難 しくなった. 多 くの 企 業 では, 業 務 量 が 膨 大 で, 人 手 を 必 要 とすることから,これらの 情 報 セキュリティ 関 連 業 務 を 洗 い 出 して, 情 報 セキュリティマネジメントとして 体 系 化 することが 増 えてきた.ちょうど, この 頃,ISMSが 認 証 として 利 用 されるようになってきたため,これをベースに 情 報 セキュ リティマネジメントを 導 入 する 企 業 が 増 えてきた.また,これらの 業 務 を 実 施 する 担 当 部 署 を 設 けるケースも 増 えてきた. 個 人 情 報 保 護 への 対 応 2003-2005 年 の 情 報 システム 部 門 や 情 報 セキュリティ 部 門 にとっての 一 番 の 課 題 は, 2004 年 に 制 定 されて2005 年 から 完 全 施 行 された 個 人 情 報 保 護 法 への 対 応 である. 個 人 情 報 保 護 法 では, 半 年 間 に5,000 件 以 上 の 個 人 情 報 を 扱 う 事 業 者 を 個 人 情 報 取 扱 事 業 者 として おり, 個 人 情 報 に 関 連 する 様 々な 対 応 が 義 務 づけられている.このため, 多 くの 企 業 が 個 人 情 報 を 厳 密 に 関 するするための 対 応 策 が 必 要 になった. 情 報 セキュリティ 関 連 では, 安 全 管 理 措 置 と 呼 ばれる, 個 人 情 報 への 物 理 的 な 保 護,データへのアクセス 制 限, 管 理 運 用 が 義 務 づけられた.そのため, 情 報 セキュリティ 部 門 でも, 情 報 システムのプログラムの 変 更, 運 用 方 法 導 入, 各 種 のルールの 整 備 などの 対 応 に 追 われた. 情 報 セキュリティのガイドライン 各 国 で, 企 業 の 情 報 セキュリティの 問 題 が 大 きな 課 題 となり, 情 報 セキュリティを 管 理 するためのガイドラインが 策 定 されて 使 われるようになった.また, 日 本 では, 企 業 に 情 報 セキュリティ 対 策 を 実 施 するために, 経 済 産 業 省 が 中 心 となって,ISMS を 推 進 した.こ のベースとなる 基 準 としては,ISO/IEC17799:2000(JIS X.5080) 3 が 管 理 策 として 用 いられ 3 ISO/IEC17799 が 翻 訳 され, 国 内 の JIS 基 準 とされる 際 に, 技 術 基 準 を 表 す X が 使 われ た. 表 題 がマネジメントガイドラインとなっているにもかかわらず, 技 術 基 準 とされたの は,ネットワークセキュリティなど 技 術 に 関 係 する 管 理 策 が 多 かったからである. 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 103
るようになった.また,この 基 準 をベースにして 情 報 セキュリティ 管 理 基 準 が 制 定 された. 日 本 では,2000 年 に ISO/IEC17799 の 国 際 規 格 化 に 賛 成 したあと,ISMS の 国 内 での 認 証 制 度 を 検 討 して,2001 年 から,JIPDEC( 情 報 処 理 開 発 協 会 )が ISMS の 認 証 制 度 のパイロット 事 業 を 行 い,この 成 果 を 受 けて 2002 年 4 月 より,ISMS の 本 格 運 用 を 始 めた. 認 証 規 格 として は, 要 求 条 件 を BS7799-2, 管 理 策 は ISO/IEC17799:2000 を 用 いた.この 経 過 を 図 2-4 に 示 す. 2000 2005 2006 2008 2011 2013 ISO/IEC17799 (7799-1) input in 2000 Published in 2002 ISO/IEC17799 :2005 ISO/IEC17799 Renamed as ISO/IEC27002 BS7799--2 revised and published as ISO/IEC27001 requirement ISO/IEC27001/ 27002 revision decided ISO/IEC27005: 2008 risk management published ISO/IEC27000: 2011 vocabulary and published ISO/IEC27005: 2011 risk management revised ISO/IEC27000: 2013 published ISO/IEC27002: 2013 published ISO/IEC27001: 2013 published ISO31000:2009 図 2-4 2000-2005 年 の 情 報 セキュリティマネジメントガイドライン 2005 年 には, 日 本 や 英 国 でのISMSの 順 調 な 進 展 が 見 られることから,BS7799-1が, ISO/IEC27001:2005として 国 際 規 格 となった.また, 同 時 にISO/IEC17799:2000も 内 容 を 見 直 して,ISO/IEC17799:2005が 発 行 された.この 規 格 は, 名 称 を 合 わせることから, ISO/IEC27002:2005に 名 称 変 更 された( 内 容 は 変 えずに 表 紙 のみ 差 し 替 えられた) 情 報 セキュリティマネジメントの 限 界 2000-2005 年 の 情 報 セキュリティは, 情 報 システムの 環 境 が 劇 的 に 変 わったことから, 様 々な 対 応 をすることが 必 要 となった.また, 情 報 セキュリティ 管 理 基 準 が 制 定 されて, 企 業 内 の 情 報 セキュリティ 対 策 に 用 いられたためである.ところが, 情 報 セキュリティ の 対 策 については,どの 企 業 もガイドラインを 利 用 するものの,どのように 対 応 するか については, 学 びながら 対 応 していくというスタイルとなったため, 必 要 な 業 務 量 に 見 合 った 人 員 や 人 材 の 確 保 が 難 しかった.また, 情 報 セキュリティの 認 証 を 目 指 す 場 合, 大 企 業 をはじめとして, 情 報 セキュリティマネジメントの 負 荷 があまりにも 大 きく, 自 社 での 対 応 が, 人 的 にも 技 術 的 にも, 十 分 に 対 応 できないケースが 散 見 されるようにな った. (4)2005-2010 年 代 のセキュリティマネジメント 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 104
情 報 システムの 統 合 化 2005 年 以 降 の 情 報 システムは, 企 業 の 多 くのビジネスが 情 報 システムを 利 用 するよう になり, 基 幹 システムのダウンサイジングも 進 んだ 結 果, 企 業 内 部 のサーバ 数 が 増 加 し て 管 理 業 務 が 急 増 した.また, 情 報 セキュリティ 部 署 が 把 握 しない 部 門 内 サーバなども ネットワークに 接 続 して 利 用 されることも 起 きていた.しかし, 情 報 セキュリティ 部 門 の 人 員 では 十 分 に 対 応 できないことも 起 きていた.この 解 決 として, 先 進 企 業 では, 企 業 内 のサーバの 整 理 統 合 を 図 り, 全 てが 管 理 される 状 態 を 模 索 した. 一 部 の 企 業 では, 重 要 ではない 周 辺 業 務 などを 外 部 の 企 業 にアウトソースしたり, 外 部 の 情 報 サービス( 後 に,クラウドと 呼 ばれるようになる)を 利 用 したりするようになった.とくに, 管 理 面 から, 電 子 メールやWebサーバなどの 運 用 保 守 を 外 部 委 託 するケースも 増 えてきた. 企 業 の 情 報 システムの 外 部 化 とクラウドの 利 用 の 本 格 化 情 報 システムについては, 運 用 保 守 にコストが 掛 かることや 必 要 な 人 材 が 不 足 するこ とから, 情 報 システムの 外 部 への 委 託 やクラウドを 利 用 するようになった. 最 初 は, 非 コ ア 事 業 での 利 用 が 中 心 であったが,2008 年 頃 からは,コア 事 業 についても, 外 部 委 託 やク ラウドを 利 用 するケースが 増 えてきた.このため, 外 部 に 企 業 の 重 要 な 情 報 が 持 ち 出 され るなど, 情 報 セキュリティの 問 題 が 大 きくなった.クラウドのセキュリティが 重 要 な 課 題 として 認 識 されるようになった. 情 報 システムのID,アクセス 権 の 管 理 企 業 内 で 働 く 従 業 員, 派 遣 社 員, 契 約 企 業 の 社 員 などが, 企 業 の 情 報 システムにアク セスしてビジネスを 実 施 するようになったため,IDとパスワードの 管 理 が 極 めて 重 要 に なった.しかし, 企 業 のビジネスでの 従 業 員 の 就 業, 離 職, 異 動 などの 情 報 は, 人 事 部 が 管 理 しているため,アクセス 権 の 付 与 や 停 止 が 情 報 セキュリティ 部 門 となかなか 連 携 されないなどの 問 題 が 起 きていた.このため, 先 進 企 業 では,シングルサインオンと 呼 ばれるもので 管 理 するケースなども 増 えてきた. 物 理 的 セキュリティの 拡 充 情 報 を 隔 離 する 最 初 の 方 法 として 多 くの 企 業 では, 物 理 的 セキュリティが 再 認 識 され た.1990 年 代 以 前 の,ホストコンピュータの 時 代 には,ホストコンピュータを 特 別 な 部 屋 に 設 置 して, 関 係 者 以 外 の 立 ち 入 りを 厳 しく 管 理 した.しかし,2000 年 以 降 は, 従 業 員 などにパソコンが 提 供 され,また, 部 門 にサーバが 設 置 されたこともあり,これらの 機 器 の 物 理 的 なセキュリティが 曖 昧 になっていた. 個 人 情 報 保 護 法 への 対 応 の 必 要 性 か ら, 個 人 情 報 を 扱 う 部 署 の 隔 離 などが 必 要 になり, 企 業 の 多 くが, 物 理 的 セキュリティ を 見 直 した.その 過 程 で, 多 くの 企 業 が, 入 退 室 管 理 システムなどを 導 入 して 立 ち 入 り を 制 限 するようになった.また, 立 ち 入 りなどを 監 視 する 必 要 性 から 管 理 カメラが 導 入 されるようになった.これらの 物 理 的 セキュリティは 多 くの 場 合, 情 報 が 集 中 監 視 シス テムに 集 められて, 不 正 な 立 ち 入 りなどのセキュリティ 違 反 を 管 理 するようになった. 情 報 セキュリティマネジメントの 重 要 性 の 拡 大 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 105
個 人 情 報 保 護 法 が 施 行 されたあと, 個 人 情 報 を 漏 えいした 企 業 はその 事 故 について 発 表 することが 義 務 づけられた.とくに,2005-2007 年 の 個 人 情 報 漏 えい 件 数 はJNSAの 調 査 結 果 を 見 ると 事 件 件 数 や 漏 えい 総 数 は 大 きい.このため, 多 くの 企 業 が, 個 人 情 報 の 漏 えい に 関 するさまざまな 対 策 をとり, 自 社 の 情 報 セキュリティの 管 理 体 制 を 整 えるようになっ た.さらに, 自 社 の 管 理 体 制 が 十 分 であることを 示 すために,ISMSやPマークの 認 証 を 取 得 して, 自 社 の 情 報 漏 えい 対 策 を 実 施 するようになった.ISMSやPマークの 認 証 を 取 得 す る 事 業 所 や 企 業 は2005 年 以 降 急 増 した.このことから, 情 報 セキュリティマネジメントの 重 要 性 が 各 企 業 に 認 識 されるようになったと 言 えよう. 企 業 の 情 報 利 活 用 の 多 様 化 に 伴 う 新 しい 情 報 セキュリティマネジメントの 課 題 企 業 の 従 業 員 は, 企 業 の 外 部 でビジネスをする 機 会 が 増 え,パソコンなどに 情 報 を 保 存 して 持 ち 出 すケースも 増 えてきた.しかし, 個 人 情 報 の 管 理 など, 企 業 の 外 部 に 持 ち 出 し を 禁 止 する 企 業 も 多 く,ビジネスの 効 率 性 と 情 報 セキュリティがバッティングするケース が 増 えてきた. 情 報 セキュリティ 部 門 では,このような 情 報 の 管 理 をコントロールするた めに,ガイドラインを 決 めたり, 監 視 システムを 導 入 したりするケースも 増 えてきた. 2.6 情 報 セキュリティに 関 連 したマネジメントシステム 情 報 セキュリティを 企 業 に 広 げるために2000 年 にISMS( 情 報 セキュリティマネジメント システム) 制 度 が 検 討 された.また,2001 年 にISMSのパイロット 試 験 が 実 施 されて 情 報 セ キュリティの 制 度 となり 得 ることが 確 認 された.この 結 果,2003 年 からそれまでの 安 全 対 策 事 業 者 認 定 制 度 に 変 わる 新 しい 認 証 制 度 が 始 まった. 最 初 は, 認 証 に 必 要 となる 要 求 条 件 となる 規 格 がないので, 英 国 規 格 協 会 ( 以 下,BSI(British Standard Institute)という) が 英 国 を 対 象 に 実 施 していたBS7799-2を 用 いることにした.その 後,ISO/IEC27001:2005が 要 求 条 件 として 国 際 規 格 となってからは,この 規 格 を 要 求 条 件 として 用 いることになった. それまでに,BS7799-2で 認 証 を 受 けていた 事 業 所 は, 更 新 のタイミングで 規 格 を 切 り 替 え た.なお, 認 証 を 受 けている 事 業 者 数 は, 図 2-5に 示 すように 増 加 してきている.2005 年 に, ISO/IEC27001:2005の 国 際 規 格 ができるまでは,なだらかな 増 加 であり, 国 際 規 格 移 行 後 か ら2009 年 までは 直 線 的 に 増 加 して 約 3,600 事 業 所 になった.2010 年 からは, 増 加 率 が 穏 やか になった.この 結 果,2014 年 8 月 末 には 約 4546の 事 業 者 が 認 証 を 受 けるまでとなった.ただ し,グラフからは, 認 証 を 受 けている 事 業 者 数 が 減 り 始 め,2014 年 には, 増 加 が 止 まった ように 見 える.これは,ISOの 認 証 規 格 であるISO/IEC27001:2013が 改 定 されたことなどか ら, 一 部 の 事 業 者 が 認 証 の 継 続 を 止 めたことが 影 響 していると 考 えられる. 長 期 的 には, 事 業 者 にとって, 情 報 セキュリティは 避 けて 通 ることができないテーマであり, 今 後 も, 認 証 事 業 者 は 増 加 していくものと 考 えられる. 一 方, 個 人 情 報 の 保 護 の 観 点 から,プライ バシーマーク 制 度 が 実 施 され,JIS Q.15000を 認 証 の 要 求 条 件 として 事 業 者 が 認 証 を 受 けて いる.2014 年 10 月 時 点 で, 約 15,000 社 が 認 証 を 受 けており,ISMS 同 様 に 認 証 企 業 数 は 増 加 している. 類 似 の 制 度 としては, 日 本 公 認 会 計 士 協 会 が, 主 に 企 業 の 内 部 統 制 の 実 施 状 況 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 106
を 認 証 するSOCやクラウド セキュリティ アライアンス( 以 下 では,CSAという)とBSIが クラウドサービスを 提 供 する 事 業 者 に 対 してのSTAR 認 証 制 度 がある. 図 2-5 ISMS 認 証 事 業 者 数 の 推 移 (2014 年 8 月 末 時 点 )( 出 所 :JIPDECのISMS 事 業 者 数 の 推 移 より[24]) 以 上 より 情 報 セキュリティマネジメントの 課 題 は, 以 下 にまとめられる 1 情 報 システムの 発 展 や 利 用 形 態 の 変 遷 によって, 情 報 セキュリティ 対 策 が 時 代 ととも に 重 要 な 課 題 となった 2 企 業 にとっては, 個 人 情 報 保 護 法 に 伴 う 情 報 セキュリティ 対 策 が 必 須 のものとなり, 取 引 先 や 顧 客 に 対 策 を 実 施 していることを 示 すことが 求 められるようになった 3 多 くの 企 業 にとって, 情 報 セキュリティ 対 策 の 関 連 業 務 が 休 息 に 増 えたこと,ま た, 情 報 セキュリティ 対 策 が 技 術 的 にも 管 理 的 にも 多 くの 人 材 を 必 要 としたこと から, 人 材 不 足 が 大 きな 課 題 となった. 3 情 報 セキュリティマネジメントの 体 系 化 について ISO/IEC 27001 と 27002 の 規 格 は,ISO/IEC27000:2012[13]の 用 語 を 始 め,ISMS を 実 装 す るための 規 格 ISO/IEC27003:2010[14], 運 用 で 定 量 的 な 管 理 をする 場 合 の 測 定 項 目 に 関 する 規 格 ISO/IEC27004:200[15],リスクマネジメントに 関 する 規 格 ISO/IEC27005:2011[16]が 開 発 されている.これらの 規 格 は,ISO/IEC27000 ファミリー 規 格 と 呼 ばれている.これを 図 3-1 に 示 す.なお, 現 在 の 規 格 の,27003,27004,27005 は 2005 年 の 規 格 と 整 合 がとら れており,ISO/IEC 27001:2013 や 2700:2013 年 とは 整 合 しない. 現 在,ISO/IEC SC27 で 改 定 作 業 が 実 施 されている.なお,ISO/IEC27000:2014(Overview and Vocabulary: 概 要 と 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 107
用 語 )* 4 [17]については,ISO/IEC27001:2013 年 版 との 対 応 がとられている. ISMS 要 求 条 件 27001 ISMS Requirements 管 理 策 27002 Code of Practice 用 語 + 概 要 27000 Overview and Vocabulary 実 装 測 定 評 価 リスクマネジメント 27003 Implementation Guidance 27004 Management Measurement 27005 Risk Management 図 3-1 ISO/IEC27000のファミリー 規 格 について 3.1 情 報 セキュDISC003からの 情 報 セキュリティマネジメントの 変 容 について ISO/IEC27002:2013[23]は,2 章 で 述 べたように, 歴 史 の 長 い 規 格 である.DISC0003 を 含 めると 既 に,20 年 間 にわたって5つ 目 の 版 が 出 版 されているが, 基 本 的 な 章 構 成 に ついては,あまり 変 化 はない. 章 構 成 について 比 較 したものを 表 3-1に 示 す. 表 3-1 情 報 セキュリティ 管 理 策 の 変 遷 ISO/IEC27002'2013 DISC PD0003 BSI7799-1 27002:2000 27002:2005 リスク 分 析 序 文 序 文 3 5 情 報 セキュリティのた めの 方 針 群 6 情 報 セキュリティのた めの 組 織 7 人 的 資 源 のセキュリ ティ 1 3 3 5 2 4 4 6 4 6 6 8 8 資 産 の 管 理 3 5 5 7 9 アクセス 制 御 7 9 9 11 10 暗 号 (8) (10) (10) (12) 11 物 理 的 及 び 環 境 的 セ キュリティ 5 7 7 9 12 運 用 のセキュリティ 6 8 8 10 13 通 信 のセキュリティ 6 8 8 10 14 システムの 取 得, 開 発 及 び 保 守 8 10 10 12 15 供 給 者 関 係 - - - - 16 情 報 セキュリティイ ンシデント 管 理 17 事 業 継 続 マネジメン トにおける 情 報 セキュリ ティの 側 面 - - - 13 9 11 11 14 18 順 守 10 12 12 15 * 4 この 規 格 は 2010 年,2012 年,2014 年 に 改 定 されているので, 利 用 するときには 注 意 されたい. 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 108
まず,DTIのDISC0003では, 企 業 の 情 報 セキュリティに 関 する 共 通 の 基 盤 とするため の 最 小 限 の 情 報 セキュリティ 対 策 がリストアップされている.また,コントロール 目 標 やコントロール( 管 理 策 )という 概 念 は 述 べられていない.これが,BS7799-1に 引 き 継 がれた 時 点 で,リスクベースの 概 念 が 導 入 され,リスク 分 析 を 実 施 して,セキュリティ の 要 求 条 件 を 明 確 にして, 管 理 策 を 選 択 するという 概 念 が 持 ち 込 まれた.これば, 現 在 のISO/IEC27002のベースとなっている. なお,リスク 分 析 については,2005 年 の 改 訂 の 時 点 で,この 基 準 だけで 情 報 セキュリ ティマネジメントとしての 一 貫 したリスク 分 析 からリスク 対 策, 管 理 策 の 導 入, 見 直 し ができるようになった.これは,BS7799-2が 国 際 規 格 となっていないためである.しか し, 情 報 セキュリティマネジメントの 全 体 像 が 示 された 事 は 大 きい.これによって 情 報 セキュリティマネジメントが 体 系 化 されたと 言 えよう.ちょうど,2 章 に 述 べたよう に, 企 業 の 利 用 部 門 での 情 報 システムの 導 入 が 進 み,ビジネスにとって 情 報 セキュリテ ィは 必 須 のものと 時 期 を 一 にしている 事 が 分 かる.なお,2013 年 の 改 定 版 では, ISO/IEC27001と27002での 規 格 の 作 られたタイミングの 違 いで,ずれが 生 じていた 部 分 や 齟 齬 がある 部 分 の 修 正 が 実 施 されるとともに, 2010 年 以 降 の 新 しいサイバーセキュ リティや 外 部 委 託 に 伴 う 情 報 セキュリティにフォーカスが 当 たっている.また,ネット ワーク 機 器 などの 設 定 や 運 用 がシステムで 行 われるようになり, 情 報 セキュリティマネ ジメントの 中 止 ではなくなったことから, 管 理 策 の 多 くが 見 直 されて 削 除 されている. これも, 時 代 の 趨 勢 を 受 けたものとなっている. まとめ 本 稿 では, 情 報 セキュリティマネジメントを 情 報 システムとの 関 係 で 分 析 した.その 結 果, 情 報 システムの 形 態 や 利 用 方 法,さらには,ビジネスとの 関 係 で, 情 報 セキュリ ティマネジメントは 大 きく 変 遷 していることが 分 かった.また,ISO/IEC27002 の 国 際 規 格 のルーツや 数 度 にわたる 変 遷 を 見 ると, 情 報 セキュリティマネジメントの 体 系 化 は なされているものの, 具 体 的 な 管 理 する 対 象 が 変 わってきていることが 分 かる. 今 までに, 起 きたことをベースに 見 ていくと, 今 後 も, 情 報 システムの 技 術 の 進 歩, ビジネスの 利 用 の 変 化 によって, 情 報 セキュリティマネジメントの 対 象 が 変 化 していく ことが 想 定 される すなわち, 情 報 セキュリティマネジメントは,これらの 変 化 に 追 随 して 行 く 必 要 があることが 分 かる. 謝 辞 本 稿 をまとめるにあたって, 情 報 セキュリティ 大 学 院 大 学 の 教 員, 研 究 室 の 学 生 や 研 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 109
究 生 から 得 られた 温 かい 助 言 や 調 査 への 協 力 に 感 謝 する. 参 考 文 献 [1] マイケル ポーター 競 争 の 戦 略 ダイヤモンド 社 1982 [2] マイケル ハマー ジェイムス ジャンピー Reengineering the Corporation: A Manifesto for Business Revolution 1993 [3] 原 田 要 之 助 通 信 のダウンサイジングとブロードバンドインターネット pp.98-108 OutLook 2002 情 報 通 信 総 合 研 究 所 2002 [4] 岩 本 敏 男 IT 幸 福 論 pp.47 東 洋 経 済 新 聞 社 2013 [5] DTI, DISC PD0003, Code of practice for Information Security Management, DTI, 1993 年 9 月 [6] BS7799-1, Code of practice for Information Security Management, 1997 年 9 月 [7] ISACA, CobiT(Control Objectives for IT) version 3, 2000 年 [8] JIS X5080:2002 情 報 技 術 -セキュリティ 技 術 - 情 報 セキュリティマネジメンの 実 践 の ための 規 範 -,2002 年 ( 廃 止 ) [9] 経 済 産 業 省, 情 報 セキュリティ 管 理 基 準 ( 平 成 15 年 に 経 済 産 業 省 告 示 第 112 号 として 制 定 され, 平 成 20 年 に 改 正 ), www.meti.go.jp/policy/netsecurity/.../is_management_standard.pdf,2014 年 1 月 ア クセス [10] 経 済 産 業 省, 情 報 処 理 サービス 業 情 報 システム 安 全 対 策 実 施 事 業 所 認 定 基 準 ( 通 商 産 業 省 告 示 406 号 ),1997 年 制 定,2001 年 廃 止 [11] ISO/IEC 17799:2000, Code of practice for Information Security Management, 2000 年 [12] BS7799-2, Information security management systems -- Requirements, 1997 [13] ISO/IEC 27000:2012, Information security management systems - Overview and vocabulary [14] ISO/IEC 27003:2010, Information security management system implementation guidance [15] ISO/IEC 27004:2009, Information security management measurements [16] ISO/IEC 27005:2011, Information security risk management [17] ISO/IEC 27000:2014, Information security management systems - Overview and vocabulary [18] ISO, Annex SL(normative) Proposals for management system standards, www.unit.org.uy/misc/anexosl.pdff,2014 年 1 月 アクセス [19] ISO/TMB/TAG 対 応 国 内 委 員 会 事 務 局,ISOマネジメントシステム 規 格 の 整 合 化 に 関 して 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 110
(ISO/TMB/TAG13-JTCGの 動 向 ),2012 年 5 月, www.jsa.or.jp/stdz/mngment/pdf/mns_4.pdf,2014 年 1 月 アクセス [20] ISO/IEC 27001:2013 Information technology - Security techniques - Information security management systems - Requirements, 2013 年 [21] ISO 31000:2009 - Risk management(jis Q31000:2010 リスクマネジメント- 原 則 及 び 指 針 ),2009 年 [22] ISO Guide 73:2009,Risk management-vocabulary,(jis Q0073:2010 (リスクマネ ジメント 用 語 ),2009 年 [23] ISO/IEC 27002:2013 Information technology - Security techniques - Code of practice for information security controls,2013 年 [24] NPO 日 本 ネットワークセキュリティ 協 会, 情 報 セキュリティ 大 学 院 大 学,2011 年 情 報 セ キュリティインシデントに 関 する 調 査 報 告 書 ~ 個 人 情 報 漏 えい 編 ~,2012 年 9 月 情 報 セキュリティ 総 合 科 学 第 6 号 2014 年 11 月 111