この章で学ぶこと

この章が扱う中分類「情報セキュリティマネジメント」は約73語で、情報セキュリティマネジメント試験（SG）コースの主要領域と重なります。ただしPD-Mはマネジメント層（経営・監督側）の試験のため、個々の技術的な管理策を深追いするより、「経営としてどうリスクを判断し、統制するか」というガバナンス寄りの視点に絞ります。個別の攻撃手法や暗号技術の詳細はセキュリティ管理策・暗号・インシデント対応の基礎や、より体系的に学びたい場合はSGコースを参照してください。

情報セキュリティの基本原則とリスクマネジメント

情報セキュリティの土台となるのが、権限のない者に情報を使わせない機密性、情報を正確な状態に保つ完全性、必要なときに使える状態を保つ可用性という3要素（CIA）に加え、利用者が本人であることを保証する真正性、誰が何をしたか追跡できる責任追跡性、後から「やっていない」と言わせない否認防止、システムが意図通りに動作し続ける信頼性を含めた7要素です。何らかの異常な事象が情報セキュリティ事象で、そのうち業務やセキュリティに実際に影響を与えたものが情報セキュリティインシデントです。

実務では、必要最小限の情報にのみアクセスを許す利用者アクセス権の管理（need-to-knowの原則）、クラウド事業者と利用者で責任範囲を分担するクラウドサービスの責任共有モデル、外部委託やクラウドサービスの利用時における情報セキュリティ、日々の基本的な衛生管理を怠らないサイバーハイジーンが重要です。リスクマネジメントは国際規格JIS Q 31000に基づき、オペレーショナルリスク・サプライチェーンリスク・外部サービス利用のリスク・SNSによる情報発信のリスク・地政学的リスクなどのリスクの種類と、リスクの発生源となるハザードを洗い出すリスクアセスメントのプロセスを経て、リスクを避けるリスク忌避、どこまで許容するかのリスク選好、リスク自体を減らすリスクコントロール、リスクを他者に移転するリスクヘッジ、金銭的な備えをするリスクファイナンシング（サイバー保険が代表例）という対応方針を経営として決定します。

扱う用語（精選・23語）

• 機密性／完全性／可用性／真正性／責任追跡性／否認防止／信頼性
• リスクマネジメント（JIS Q 31000）／情報セキュリティ事象／情報セキュリティインシデント
• 利用者アクセス権の管理（need-to-knowの原則 など）／クラウドサービスの責任共有モデル／外部委託やクラウドサービスの利用時における情報セキュリティ／サイバーハイジーン
• リスクの種類（オペレーショナル・サプライチェーン・外部サービス利用・SNS発信・地政学的リスク など）／ハザード／リスクアセスメントのプロセス
• リスク忌避／リスク選好／リスクコントロール／リスクヘッジ／リスクファイナンシング／サイバー保険

ISMSの運用サイクルと管理策

組織のセキュリティ対策の基本方針となるのが情報セキュリティ方針で、これを具体化する情報管理規程・秘密情報管理規程・文書管理規程・情報セキュリティ教育の規程を整備し、どこまでを対象とするかというISMS適用範囲を定めます。ISMS（情報セキュリティマネジメントシステム）は、経営層のリーダーシップのもとで計画・運用・パフォーマンス評価・改善というPDCA型のサイクルで回し続けます。

具体的な対策の実装が情報セキュリティ管理策で、予防・検知・是正といった管理策タイプに分類されます。米国NISTが示す、脅威を洗い出す「識別」、防ぐ「防御」、見つける「検知」、対処する「対応」、立て直す「復旧」という5機能からなるサイバーセキュリティ概念は、対策全体を俯瞰する枠組みとして広く使われています。組織全体でセキュリティをどう統治するかという情報セキュリティガバナンス（JIS Q 27014）は、第6章で扱ったコーポレートガバナンスの考え方をセキュリティ領域に適用したものと捉えると理解しやすくなります。

扱う用語（精選・15語）

• 情報セキュリティ方針／情報管理規程／秘密情報管理規程／文書管理規程／情報セキュリティ教育の規程／ISMS適用範囲
• リーダーシップ／計画／運用／パフォーマンス評価／改善
• 情報セキュリティ管理策／管理策タイプ
• サイバーセキュリティ概念（識別・防御・検知・対応・復旧）
• 情報セキュリティガバナンス（JIS Q 27014（ISO/IEC 27014））

クラウド・供給者関係とインシデント対応の実務

クラウドサービス利用時のセキュリティ管理策を定めたJIS Q 27017（ISO/IEC 27017）のもと、インシデント発生時の一連の対応手順をインシデントハンドリングと呼びます。組織全体で共有すべき情報セキュリティのための方針群を土台に、経営層が担う管理層の責任のもと、最新の脅威動向を収集・分析する脅威インテリジェンスを活用します。第5章で扱ったプロジェクトマネジメントの観点からはプロジェクトマネジメントにおける情報セキュリティ、外部委託先を含む供給者関係における情報セキュリティも統制対象です。

法令・規制および契約上の要求事項を満たしているかを確認し、証跡となる記録の保護を行い、対策が形骸化していないかを情報セキュリティの独立したレビューで確認します。方針・規則・標準が実際に守られているかという順守確認や、社員への情報セキュリティ啓発、レッドチーム演習を含む情報セキュリティ訓練、利用者の行動パターンから異常を検知するUBA（User Behavior Analytics）とそれを利用者以外のシステム的な主体にも拡張したUEBA（User and Entity Behavior Analytics）まで、意識向上・教育・訓練を継続的に実施します。人事面では、雇用の終了又は変更後の責任を明確にし、秘密保持契約又は守秘義務契約を締結し、インシデント発生時には速やかに情報セキュリティ事象の報告を行う体制を整えます。

扱う用語（精選・19語）

• JIS Q 27017（ISO/IEC 27017）／インシデントハンドリング
• 情報セキュリティのための方針群／管理層の責任／脅威インテリジェンス
• プロジェクトマネジメントにおける情報セキュリティ／供給者関係における情報セキュリティ
• “法令，規制および契約上の要求事項”／記録の保護／情報セキュリティの独立したレビュー／“情報セキュリティのための方針群，規則及び標準の順守”
• 情報セキュリティ啓発／情報セキュリティ訓練（レッドチーム演習 など）／UBA／UEBA／“情報セキュリティの意識向上，教育及び訓練”
• 雇用の終了又は変更後の責任／秘密保持契約又は守秘義務契約／情報セキュリティ事象の報告

物理的セキュリティと技術的対策の要点

情報システムの信頼性を表す総合指標RASIS（信頼性・可用性・保守性・保全性・安全性）を土台に、物理的な対策として、施設への不正侵入を防ぐハウジングセキュリティ、共連れによる不正入退室を防ぐアンチパスバック、扉の連動制御によるインターロック、警備会社による機械警備、盗聴・誤接続を防ぐケーブル配線のセキュリティ、電源・空調などのサポートユーティリティの保守があります。

技術面では、既知の脆弱性を継続的に管理する技術的脆弱性の管理、災害時にも稼働を続けるための情報処理施設・設備の冗長性が重要です。開発を外部に委託する外部委託による開発や、監査でテスト環境を使う際に本番データを保護する監査におけるテスト中の情報システムの保護も、マネジメント層が押さえるべき統制ポイントです。

扱う用語（精選・11語）

• RASIS／ハウジングセキュリティ／アンチパスバック／インターロック／機械警備／ケーブル配線のセキュリティ／サポートユーティリティの保守
• 技術的脆弱性の管理／情報処理施設・設備の冗長性
• 外部委託による開発／監査におけるテスト中の情報システムの保護

経営層向けガイドラインと規制動向

経営者がセキュリティ投資を判断する際の指針がサイバーセキュリティ経営ガイドラインで、中小企業向けには中小企業の情報セキュリティ対策ガイドラインが用意されています。サプライチェーン全体のセキュリティ水準を評価するサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）、金融業界向けの金融機関等コンピュータシステムの安全対策基準・解説書のように、業界特有の指針も存在します。国際的な規制動向としては、EUの金融セクターにデジタル基盤の強靭性を義務付けるDORA（デジタルオペレーショナルレジリエンス法）のように、セキュリティが金融規制と一体化する潮流も押さえておきましょう。

扱う用語（精選・5語）

• サイバーセキュリティ経営ガイドライン／中小企業の情報セキュリティ対策ガイドライン
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）／金融機関等コンピュータシステムの安全対策基準・解説書
• DORA（デジタルオペレーショナルレジリエンス法）

AIで学ぶ

ここまでの用語は、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、比較表つきでさらに深く掘り下げて学習できます。コピーして使ってみましょう。

あなたはプロフェッショナルデジタルスキル（マネジメント）試験の講師です。「情報セキュリティマネジメント（マネジメント層の要点）」の範囲について、以下の用語を初学者向けに**関連づけながら**説明してください（単体の丸暗記より、用語同士のつながりを理解したほうが記憶に定着しやすく、試験本番で紛らわしい選択肢を見分ける力もつくためです）。用語同士の違いが分かる**比較表**を最後に付けてください。

【基本原則とリスクマネジメント】機密性、完全性、可用性、真正性、責任追跡性、否認防止、信頼性、リスクマネジメント（JIS Q 31000）、リスクの種類、リスクアセスメントのプロセス、リスク忌避、リスク選好、リスクコントロール、リスクヘッジ、リスクファイナンシング
【ISMSの運用サイクル】情報セキュリティ方針、ISMS適用範囲、計画、運用、パフォーマンス評価、改善、情報セキュリティ管理策、サイバーセキュリティ概念（識別・防御・検知・対応・復旧）、情報セキュリティガバナンス
【供給者関係とインシデント対応】JIS Q 27017、インシデントハンドリング、脅威インテリジェンス、供給者関係における情報セキュリティ、情報セキュリティ啓発、UBA、UEBA、秘密保持契約又は守秘義務契約
【物理・技術的対策】RASIS、ハウジングセキュリティ、アンチパスバック、インターロック、技術的脆弱性の管理、情報処理施設・設備の冗長性
【経営層向けガイドライン】サイバーセキュリティ経営ガイドライン、中小企業の情報セキュリティ対策ガイドライン、SCS評価制度、DORA

AIに用語リストだけを渡すと、辞書をそのまま読み上げるような無機質な説明が返ってくることがあります。このプロンプトが役割（試験の講師）・関連づけの指示・出力形式（比較表）の3つを指定しているのはそれを避けるためです。SG試験も並行して学習している場合は、SGコースの該当章と比較表を並べて見ると、「マネジメント層の要点」と「実務担当者の詳細知識」の違いがより鮮明になります。

章末チェック

最後に、この章で学んだ知識をアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、情報セキュリティの基本原則からISMSの運用サイクル、供給者関係・インシデント対応の実務、物理的セキュリティ、そして経営層向けガイドラインまでを、マネジメント層の視点で学びました。ここまでの知識（管理・組織活動・セキュリティ）を実際の現場でどう組み合わせて判断するかを、次章のケーススタディで統合的に学びます。

次章では、DX推進責任者を主人公にしたケーススタディ形式で、これまでの知識を実務判断に応用する技能（科目B）を学びます。→ 第8章 マネジメント実務ケーススタディ（技能）