情報セキュリティ監査基準と ISMS

結論：名前が似た3つを分けて覚える

このレッスンの得点源は、名前がよく似た3つの文書を区別することです。監査基準＝監査人の行動ルール、管理基準＝監査で使う物差し、JIS Q 27001＝組織がISMSを作るときの要求事項です。

たとえるなら健康診断です。監査基準は「医師が守る診察のルール」、管理基準は「検査値の正常範囲の表」にあたります。医師は正常範囲の表と見比べて判定するのと同じで、監査人も管理基準と見比べて判定します。

情報セキュリティ監査基準：判断尺度と監査人の条件

情報セキュリティ監査基準は、経済産業省が定めた日本の基準です（Ver1.0）。監査人が守るべきことをまとめています。判断の尺度には、原則として情報セキュリティ管理基準を使う、という点が最もよく問われます。

押さえる4点：

• 判断の尺度：原則として情報セキュリティ管理基準（平成28年改正版）を使う → 正しい
• 独立性：監査人には独立性（監査対象の部門から離れた立場）と客観性が必要 → 「専門性が高いので独立性は不要」は誤り
• 他の専門家の支援：必要に応じて受けてよい → 「受けてはならない」は誤り
• 国際規格との関係：日本独自に策定した基準。ISMSの国際規格と「同一の内容」ではない → 誤り

独立性については、前のシステム監査のレッスンと考え方が同じです。「自分の仕事を自分で採点しない」と覚えれば迷いません。

監査対象は「情報資産」：紙もコンピュータの無い部署も入る

情報セキュリティ監査の対象は情報資産です。情報資産とは、組織にとって価値のある情報と、それを扱う媒体全部のことです。紙の書類・USBメモリ・人の頭の中のノウハウまで含みます。

たとえば、手書きの顧客名簿を鍵のない棚に置いている部署は、パソコンが1台も無くても情報漏えいのリスクを抱えています。だから監査が必要です。

ISMSとISMS適合性評価制度

ISMS（情報セキュリティマネジメントシステム）とは、組織が情報セキュリティをPDCAで継続的に管理する仕組みのことです。要求事項はJIS Q 27001に書かれています。ISMS適合性評価制度は、組織のISMSがJIS Q 27001に適合しているかを第三者の認証機関が審査・認証する制度です。

試験では、似た「第三者がお墨付きを出す制度」と並べて出されます。

注意：電子政府推奨暗号リスト（CRYPTREC）は、国が推奨する暗号アルゴリズムの一覧です。認証制度ではありません。「暗号」という言葉が共通なので、JCMVPと混同しないでください。

見分け方：組織の仕組み＝ISMS、製品＝15408、個人情報＝Pマーク、暗号モジュール＝JCMVP。

ISMSを作る手順：まず基準、次に評価、最後に宣言

ISMSを作る（確立する）ときの順番は、「物差しを決める→測る→対策を選ぶ→選んだ結果を宣言する」です。適用宣言書とは、規格の附属書にある管理策（セキュリティ対策の項目）ごとに、採用するかしないかとその理由をまとめた文書です。対策を選び終えないと書けないので、必ず最後になります。

flowchart TD
  A["① リスク受容基準を決める（どこまでのリスクなら受け入れるか）"] --> B["② リスクアセスメント（リスクの特定・分析・評価）"]
  B --> C["③ リスク対応：管理目的と管理策を選ぶ"]
  C --> D["④ 適用宣言書を作る"]

• リスク受容基準：「このくらいのリスクなら対策せずに受け入れる」という線引き
• リスクアセスメント：リスクを洗い出し（特定）、大きさを見積もり（分析）、受容基準と比べて対策の要否を決める（評価）

リスク受容基準は評価で使う物差しなので、リスクアセスメントの前に決めておく必要があります。測った後で物差しを決めると、結果に合わせて基準を甘くできてしまうからです。

ISMS内部監査で「指摘事項」になるもの

内部監査とは、組織が自分たちのISMSを社内の監査人にチェックさせることです。指摘事項として監査報告書に書くのは、規格や社内ルールから外れている状況（不適合）です。

「事故やマルウェアが出た＝悪いこと」に見えますが、監査が見るのはルールどおりに管理・対応したかです。結果の良し悪しではなく、手順から外れているかで判断します。