認証取得のためのISMSガイド：情報セキュリティマネジメントシステム基礎講座（2）（2/2 ページ）

期待されている「ISMS適合性評価制度」

　情報セキュリティへの取り組みの歴史はわが国でも古く、昭和56年から独自に情報処理サービス業に対し、事業所の設備を中心とする認定制度が設けられていた。この制度は、「情報処理サービス業情報システム安全対策実施事業所認定制度」（以下、安対制度という）と呼ばれ、旧通商産業省（現経済産業省）の大臣認定制度（図6）として、20年間に約200社の適合証を登録していた。

図6 情報処理サービス業情報システム安全対策実施事業所認定制度（旧案対制度）

　安対制度設立の目的としては、

• 情報システムの機密性、保全性、可用性を確保すること
• 自然災害、機器の障害、故意、過失のリスクを未然に防止すること
• 障害発生時の影響を最小化、および回復の迅速化を図ること

であり、認定のための基準は、

• 設置基準（100項目）
  　　例：建物は落雷の被害を受ける恐れのない場所に設けること
• 技術基準（26項目）
  　　例：データおよびプログラムを復旧する機能を設けること
• 運用基準（66項目）
  　　例：データなどのバックアップを行うこと

といった構成であった。

　しかし、この制度は、近年のインターネットの急速な普及を背景に、グローバルなネットビジネスが展開されボーダレスの商取引が急発展していることに伴い、諸外国からも信頼を得られるよう、情報セキュリティレベルを国際的な標準に準拠させていく必要性が高まった。その結果、20年来続いていた制度は平成13年3月に廃止され、新たにISMS適合性評価制度が創設された。従来の安対制度では、設備などの物理的な対策に比較的重点を置いた認証基準であったが、ISMS適合性評価制度は、設備・運用面をバランスよく盛り込み、ISMSの観点からの管理策を付加した日本の風土に見合った認証基準を用いている。

　この制度を評価するISMS認証基準は、国際標準ISO/IEC 17799:2000やJIS X5080:2002 、上記のBS7799 Part2:1999を参考として作成したものである。基本的には、BS7799 Part2:1999と同等で、将来的には両者の相互認証も期待されている。

　両者の差としては、人事採用に関連した詳細管理策に若干の違いが見られる。BS7799では、採用前に身元調査をしなければならないと記述されているが、ISMS認証基準では、採用する人員の資質や職能を明確にすることとなっており、日本風土における身元調査が困難なことを踏まえての配慮が施されている。このほかにも、BS7799では、1つであった詳細管理策をその意味合いから2分割した詳細管理策もあるため、詳細管理策の個数でいえば、BS7799が127に対して、134個になっている。とはいえ、本質的な違いはないといえる。

　ISMS適合性評価制度は、民間ベースによる第三者認証制度である。これは、本制度をより広く普及させようという姿勢の表れでもある。

　ISMS適合性評価制度は2002年4月から本格運用が開始され、対象範囲を従来の安対制度に準じて「情報処理サービス事業者※」を中心としていたものから、徐々にその対象を拡大しようとしている。

ISMS認定基準によるISMS構築スキーム

　ISMS認証基準のポイントは、企業組織の情報の資産価値に見合った対策を施すために、作成したセキュリティポリシーを基にPDCA（Plan、Do、Check、Act）によるサイクルを継続的に繰り返し、情報セキュリティ向上を図ることにある。このようなポイントやISMS認証基準を理解するために、ISMSガイド（Ver.1.0）が用意されている。

ISMSガイド

　ISMSガイドでは、ISMS適合性評価制度の円滑な実施を促すために、審査についてのさまざまなポイントについてISMS認証基準に準じて解説している。

　このガイドは、審査登録機関の審査員がISMS適合性評価制度の審査業務を実施するうえで、参考となることを想定しているが、受審する事業者にとっても参考となる資料である。ガイドは、「?基本編」と「?事例編」の2部構成となっている。「?基本編」は、審査に当たり、事業者および審査員が担う役割をまとめている。具体的には、情報資産の洗い出しとリスク評価、審査上のポイントと管理策の例、参考文献・法令など・用語の説明などである。これは、前述のPD3000シリーズと同等の役割を担っている。

　「?事例編」は、ケーススタディとして架空の事業者を設定し審査までの一連のISMS構築における取り組みをストーリー的に解説し、審査のポイントを押さえながら、審査員および事業者においてもその場の雰囲気を実感してもらおうとしている。財団法人日本情報処理開発協会（JIPDEC）から入手可能なので参照されたい。

　このガイドは、ISMS認証基準で定められているISMS構築作業におけるマネジメントの枠組みの確立について、BS7799と同様、6つのステップ（図7）の要求事項について説明している。

図7 標準的なISMS構築スキーム（拡大）

　ISMS適合性評価制度において、JIPDECが指定された認定機関として独立した位置付けとなり、制度を推進している。JIPDECは「ISO/IEC Guide 61（JIS Z 9361）」に基づく体制を整えており、審査登録機関は、「ISO/IEC Guide 62（JIS Z 9362）」指定基準に準用し、ISMS認証基準に基づく審査を進めている。

　図8にJIPDECを中心とした認証審査の流れを示す。

図8 ISMS適合性評価制度における認証審査の流れ（拡大）

　審査登録機関、審査員および研修機関の基準は「ISMS制度 基準集（Ver.1.0）」を参照するとよい。

　ISMS適合性評価制度の認証審査は、見積もり、認証契約の締結後、（1）初回審査（2）認証（3）継続審査（更新審査）といったプロセスを実施する。不適合でなければ審査登録機関は、認証を登録し、事業者に登録書を発行する。登録有効機期間は3年間で、認証を維持するためには、1年未満のサイクルで維持審査を実施し、3年以降認証を継続する場合、更新審査を行う。

（1）初回審査

（2）認証

（3）維持審査／更新審査

　必要に応じて、予備審査を受けることも可能である。予備審査は任意であり、審査登録機関によって取り扱いが異なる。予備審査では、

• ISMS認証基準の要求事項に基づくレビュー
• 初回審査までに準備すべき事項の明確化
• ISMSの範囲などについて審査側と受信側との合意

などが検討される。

　さて、冒頭にも述べたが、ISMSの認証取得はゴールではない。あくまでも、ISMSの継続的な運用における過程の1つでしかない。認証取得後、不正アクセスやコンピュータウイルス、入力ミスの被害を受けないというわけではない。むしろ、万が一、セキュリティ危機の事態が生じた場合でも柔軟に対応できる体制があり、事故を調査し、適切な管理策を施していけることがISMSの本来の強みなのである。