この章で学ぶこと

第3〜4章で学んだリスクマネジメントの考え方・関連組織や標準を、実際に組織の中で運用する仕組みがISMS(情報セキュリティマネジメントシステム)です。この章はコース最大の102語ですが、国際規格JIS Q 27002(ISO/IEC 27002)が管理策を組織的・人的・物理的・技術的という4分類で整理しているのに沿って学べば、迷わず進められます。まず①ISMSの基礎と認証制度を押さえ、②組織的管理策（方針・資産・アクセス制御・供給者・インシデント対応・事業継続・法令順守）→③人的管理策→④物理的管理策→⑤技術的管理策、という順に積み上げます。

ISMSの基礎・認証制度と国際標準体系

組織がISMSを構築する際、まずどの範囲（部門・拠点・システム）を対象にするかというISMS適用範囲を定めます。リスクへの対応として具体的に実施する対策を情報セキュリティ管理策と呼び、事前に防ぐ予防、問題の発生を見つける検知、発生後に是正する是正という管理策タイプで分類されます。

組織のISMSが規格に適合しているかを第三者が審査する仕組みがISMS適合性評価制度で、審査に合格するとISMS認証を取得できます。この認証の根拠となる要求事項を定めた国際規格がJIS Q 27001(ISO/IEC 27001)で、具体的な管理策の実践の手引きを示すのがJIS Q 27002(ISO/IEC 27002)です。経営層がISMSにどう関与すべきかという統治の視点を扱う情報セキュリティガバナンス(JIS Q 27014)、クラウドサービス固有の管理策を追加するJIS Q 27017(ISO/IEC 27017)も、この章で扱う管理策群の土台となる標準です。

扱う用語（精選・9語）

• ISMS適用範囲／情報セキュリティ管理策／管理策タイプ(予防・検知・是正)
• ISMS適合性評価制度／ISMS認証
• JIS Q 27001(ISO/IEC 27001)／JIS Q 27002(ISO/IEC 27002)／情報セキュリティガバナンス(JIS Q 27014)／JIS Q 27017(ISO/IEC 27017)

組織的管理策

組織的管理策の土台になるのが、第4章で学んだ情報セキュリティのための方針群と、誰が何に責任を持つかを定める情報セキュリティの役割及び責任です。1人に権限が集中しないよう業務を分担する職務の分離、経営層が担うべき管理層の責任、警察・監督官庁といった関係当局との連絡、CSIRTコミュニティなど専門組織との連絡、最新の攻撃動向を収集・分析する脅威インテリジェンス（第1〜2章の脅威情報がここで実務に接続します）、プロジェクト遂行中もセキュリティを確保するプロジェクトマネジメントにおける情報セキュリティがあります。

情報資産の管理では、何を保有しているかを把握する情報及びその他の関連資産の目録、資産の使い方のルールを定める許容される利用、退職・異動時の資産の返却、機密度に応じて情報を区分する情報の分類とそのラベル付け、安全な情報の転送方法を定めます。アクセスの制御では、誰が何にアクセスできるかを制限するアクセス制御、利用者を一意に識別する識別情報の管理、パスワードなどの認証情報の管理、業務上必要なアクセス権の付与・見直しが基本です。

外部との関係では、委託先・取引先を含めた供給者関係における情報セキュリティ、契約時にセキュリティ要件を盛り込む供給者との合意における情報セキュリティの取扱い、部品・ソフトウェアの調達網全体を管理するICTサプライチェーンにおける情報セキュリティの管理、委託後も供給者のサービス提供の監視・レビュー・変更管理を続けること、そして第3章で学んだクラウドサービスの利用における情報セキュリティがあります。

インシデントが起きたときの一連の流れとしては、事前の情報セキュリティインシデント管理の計画策定及び準備から始まり、発生した事象が本当にインシデントかを判定する情報セキュリティ事象の評価及び決定、実際の情報セキュリティインシデントへの対応、再発防止のために教訓を得る情報セキュリティインシデントからの学習、法的手続きに備えた証拠の収集という順で進みます（この流れは第6章「インシデント対応」でさらに詳しく扱います）。災害やシステム障害による事業の中断・阻害時の情報セキュリティ、それに備える事業継続のためのICTの備えもあわせて押さえておきましょう。

最後に、順守すべき法令・規制・契約上の要求事項、著作権などの知的財産権、証跡としての記録の保護、個人情報保護法などに基づくプライバシー及びPIIの保護、ISMSが正しく機能しているかを内部監査などで確認する情報セキュリティの独立したレビュー、現場が実際に情報セキュリティのための方針群・規則・標準の順守を徹底しているかの確認、そして具体的な作業手順を文書化した操作手順書までが、組織的管理策の範囲です。

扱う用語（精選・37語）

• 情報セキュリティのための方針群／情報セキュリティの役割及び責任／職務の分離／管理層の責任／関係当局との連絡／専門組織との連絡／脅威インテリジェンス／プロジェクトマネジメントにおける情報セキュリティ
• 情報及びその他の関連資産の目録／許容される利用／資産の返却／情報の分類／情報のラベル付け／情報の転送／アクセス制御／識別情報の管理／認証情報／アクセス権
• 供給者関係における情報セキュリティ／供給者との合意における情報セキュリティの取扱い／ICTサプライチェーンにおける情報セキュリティの管理／供給者のサービス提供の監視・レビュー・変更管理／クラウドサービスの利用における情報セキュリティ
• 情報セキュリティインシデント管理の計画策定及び準備／情報セキュリティ事象の評価及び決定／情報セキュリティインシデントへの対応／情報セキュリティインシデントからの学習／証拠の収集／事業の中断・阻害時の情報セキュリティ／事業継続のためのICTの備え
• 法令・規制・契約上の要求事項／知的財産権／記録の保護／プライバシー及びPIIの保護／情報セキュリティの独立したレビュー／情報セキュリティのための方針群・規則・標準の順守／操作手順書

人的管理策

人に起因するリスクへの対策が人的管理策です。採用時の身元確認である選考、セキュリティ遵守を含めた雇用条件の明示から始まり、入社後は情報セキュリティの意識向上・教育・訓練を継続的に行います。規則違反があった場合の懲戒手続、退職・異動の際にも情報を漏らさない雇用の終了又は変更後の責任、業務上知り得た秘密を守らせる秘密保持契約又は守秘義務契約も欠かせません。

近年特に重要性が増しているのが、オフィス外で働くリモートワーク時のセキュリティです。VPNの利用や端末の管理など、社内と同水準の対策を維持する工夫が求められます。そして、何か異常に気づいた従業員が萎縮せず報告できる文化づくりが情報セキュリティ事象の報告の実効性を左右します。

扱う用語（精選・8語）

• 選考／雇用条件／情報セキュリティの意識向上・教育・訓練／懲戒手続／雇用の終了又は変更後の責任／秘密保持契約又は守秘義務契約
• リモートワーク／情報セキュリティ事象の報告

物理的管理策

物理的な侵入・災害からの保護も、情報セキュリティの重要な一角です。オフィスの内外を区切る物理的セキュリティ境界、ICカードなどによる物理的入退管理、オフィス・部屋・施設のセキュリティ、防犯カメラなどによる物理的セキュリティの監視、地震・水害といった物理的及び環境的脅威からの保護があります。

サーバー室のようなセキュリティを保つべき領域での作業では、離席時に書類・画面を放置しないクリアデスク・クリアスクリーンの徹底が基本です。機器そのものの管理としては、盗難・損傷を防ぐ装置の設置及び保護、社外に持ち出す場合の構外にある資産のセキュリティ、USBメモリなどの記憶媒体の管理、電源・空調といったサポートユーティリティ（第1章の関連キーワードとも対応します）、盗聴を防ぐケーブル配線のセキュリティ、定期的な装置の保守、廃棄時にデータを完全に消去する装置のセキュリティを保った処分又は再利用までが対象です。

扱う用語（精選・14語）

• 物理的セキュリティ境界／物理的入退／オフィス・部屋・施設のセキュリティ／物理的セキュリティの監視／物理的及び環境的脅威からの保護
• セキュリティを保つべき領域での作業／クリアデスク・クリアスクリーン
• 装置の設置及び保護／構外にある資産のセキュリティ／記憶媒体／サポートユーティリティ／ケーブル配線のセキュリティ／装置の保守／装置のセキュリティを保った処分又は再利用

技術的管理策

ノートPCやスマートフォンといった利用者エンドポイント機器の管理から、管理者権限のような特権的アクセス権を必要最小限に絞る情報へのアクセス制限、開発者以外がみだりに触れないようにするソースコードへのアクセス、多要素認証などでセキュリティを保った認証を実現するところまでが、技術的管理策の入口です。システムが処理しきれる量を見積もる容量・能力の管理、ウイルス対策ソフトなどのマルウェアに対する保護、パッチ未適用の脆弱性を管理する技術的脆弱性の管理、設定内容を正しく保つ構成管理も運用の基本です。

データそのものの保護としては、不要になった情報を確実に消す情報の削除、テスト環境などで実データを加工して使うデータマスキング、機密情報の持ち出しを検知・防止するデータ漏えい防止、障害に備えた情報のバックアップ、システムを二重化する情報処理施設・設備の冗長性があります。運用監視の観点では、ログ取得と監視活動によって異常の兆候を検知し、複数システムのログを正しく突き合わせるためのクロックの同期、管理者用の強力な権限を持つ特権的なユーティリティプログラムの使用を制限し、勝手なソフトウェアが入らないよう運用システムへのソフトウェアの導入を管理します。

ネットワークの保護としては、ネットワークセキュリティ全般の対策、外部サービスとの接続点であるネットワークサービスのセキュリティ、重要な区画を分けるネットワークの分離、不適切なサイトへのアクセスを防ぐウェブフィルタリング、そして通信・保存データを守る暗号の利用（具体的な暗号技術は第7章で扱います）があります。

最後に、システム開発における管理策です。企画から廃棄までセキュリティを組み込むセキュリティに配慮した開発のライフサイクル、開発すべきセキュリティ要件を定めるアプリケーションセキュリティの要求事項、堅牢なセキュリティに配慮したシステムアーキテクチャ及びシステム構築の原則、脆弱性を作り込まないセキュリティに配慮したコーディング、リリース前の開発及び受入れにおけるセキュリティテスト、外部に開発を任せる外部委託による開発、環境を混同しないよう分ける開発環境・テスト環境・本番環境の分離、リリース時の変更管理、本番データを不用意に使わないテスト用情報の扱い、そして監査におけるテスト中の情報システムの保護までが対象です。

扱う用語（精選・34語）

• 利用者エンドポイント機器／特権的アクセス権／情報へのアクセス制限／ソースコードへのアクセス／セキュリティを保った認証／容量・能力の管理／マルウェアに対する保護／技術的脆弱性の管理／構成管理
• 情報の削除／データマスキング／データ漏えい防止／情報のバックアップ／情報処理施設・設備の冗長性
• ログ取得／監視活動／クロックの同期／特権的なユーティリティプログラムの使用／運用システムへのソフトウェアの導入
• ネットワークセキュリティ／ネットワークサービスのセキュリティ／ネットワークの分離／ウェブフィルタリング／暗号の利用
• セキュリティに配慮した開発のライフサイクル／アプリケーションセキュリティの要求事項／セキュリティに配慮したシステムアーキテクチャ及びシステム構築の原則／セキュリティに配慮したコーディング／開発及び受入れにおけるセキュリティテスト／外部委託による開発／開発環境・テスト環境・本番環境の分離／変更管理／テスト用情報／監査におけるテスト中の情報システムの保護

AIで学ぶ

ここまでの用語は、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、比較表つきでさらに深く掘り下げて学習できます。コピーして使ってみましょう。

あなたは情報処理安全確保支援士（SC）試験の講師です。「ISMSの運用管理策」の範囲について、以下の用語を初学者向けに**関連づけながら**説明してください（単体の丸暗記より、ISO/IEC 27002が管理策を「組織的・人的・物理的・技術的」の4分類で整理していることを軸に理解したほうが記憶に定着しやすいためです）。各用語がこの4分類のどれに属するかを明示し、比較表を最後に付けてください。

【ISMSの基礎】ISMS適用範囲、情報セキュリティ管理策、管理策タイプ、ISMS適合性評価制度、ISMS認証、JIS Q 27001、JIS Q 27002、情報セキュリティガバナンス、JIS Q 27017
【組織的管理策】情報セキュリティのための方針群、役割及び責任、職務の分離、管理層の責任、関係当局との連絡、専門組織との連絡、脅威インテリジェンス、資産目録、アクセス制御、供給者関係における情報セキュリティ、ICTサプライチェーンにおける情報セキュリティの管理、情報セキュリティインシデント管理、事業継続のためのICTの備え、法令・規制・契約上の要求事項、独立したレビュー
【人的管理策】選考、雇用条件、意識向上・教育・訓練、懲戒手続、雇用の終了又は変更後の責任、秘密保持契約、リモートワーク、情報セキュリティ事象の報告
【物理的管理策】物理的セキュリティ境界、物理的入退、物理的及び環境的脅威からの保護、クリアデスク・クリアスクリーン、装置の設置及び保護、記憶媒体、サポートユーティリティ、装置の処分又は再利用
【技術的管理策】利用者エンドポイント機器、特権的アクセス権、セキュリティを保った認証、マルウェアに対する保護、技術的脆弱性の管理、データ漏えい防止、情報のバックアップ、ログ取得、監視活動、ネットワークの分離、暗号の利用、セキュリティに配慮した開発のライフサイクル、変更管理

このプロンプトが「組織的・人的・物理的・技術的」という4分類を軸に整理させているのは、この章がISO/IEC 27002という国際規格の構造そのものを反映しているためです。この4分類さえ頭に入っていれば、初見の管理策名でも「これは人の話か、機器の話か」で大まかに見当がつくようになります。

章末チェック

最後に、この章で学んだ知識をアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、ISMSの基礎・認証制度と、組織的・人的・物理的・技術的という4分類で整理された実務管理策を学びました。この章はコース最大のボリュームでしたが、4分類という骨格さえ押さえれば、個々の管理策は「どの分類のどんな課題に対応するものか」で位置づけられるはずです。

次章では、この4分類のうち特に物理的・人的・技術的な管理策を掘り下げ、実際にインシデントが起きたときの対応と検知・ネットワーク防御の技術を学びます。→ 第6章 インシデント対応・物理/人的セキュリティと検知・ネットワーク防御