4つのベストプラクティス

セキュリティ標準を活用したコンプライアンス管理

業界のセキュリティ標準を活用してセキュリティを強化する、コンプライアンス管理のためのベストプラクティス4項目を紹介する。

公開 2008年05月20日 07時30分

更新 2012年09月06日 13時03分

著者

Al Berg

[TechTarget]

印刷する

　情報セキュリティ標準は金融機関にとって、セキュリティ態勢強化のためのツールになり得る。ただし、適切に使えばの話だ。壁に絵を掛けるたびに金づちとくぎを発明・設計・制作する必要がないのと同じで、会社のセキュリティ標準をゼロから作る必要はない。しかし、基礎部品を使って金融機関としてのニーズを満たすには、多数の重要な選択をし、適切な手順を踏む必要がある。ここでは、業界のセキュリティ標準を最大限に活用するためのベストプラクティス4項目を紹介する。

利用者責任

　「標準的な」標準などというものは存在しない。どの標準を選べばよいか、そしてその選択の結果自分がどのような責任を負うことになるかを知ることが、コンプライアンス管理の第一歩だ。

　一部の業界や組織には、法令で定められた情報セキュリティ標準を満たすことが義務付けられている。金融業界はグラム・リーチ・ブライリー法（GLB法）を順守する必要がある。医療機関や健康保険会社、医療情報管理会社は医療保険の相互運用性と説明責任に関する法律（HIPAA法）に縛られる。さらに公開企業は、サーベンス・オクスリー法（SOX法）で、会計システムを詐欺や不正利用から守る責任が定められている。

　また、業界のベストプラクティスを標準としたセキュリティプログラムを導入したい金融機関のための自主基準も多数ある。以下に例を挙げる。

ISO 17799

　国際標準化機構（ISO）が管理するISO 17799は、情報セキュリティ標準の一般原則に最も近い。資格を持った外部の監査人による業務監査を受ければ、17799準拠企業として登録される。

Standard of Good Practice for Information Security

　「Standard of Good Practice for Information Security」（情報セキュリティのためのグッドプラクティス標準）は、セキュリティ強化に関心を持つ企業で作る世界組織Information Security Forum（ISF）が公表している。この文書は無料で入手できる。ISFは加盟社向けに、同標準に関連した幅広いツールやサービスを有料で提供している。

　どの標準を選ぶにしても（あるいは法令で順守が定められているどの標準にしても）、これらの文書化されたベストプラクティスから何が得られ、何が得られないかを理解しておくことが大切だ。例えば、情報へのアクセスは個別の認証情報で保護しなければならないとか、重要な情報は2要素認証で保護しなければならないといった一般原則は得られる。しかし、どの情報が重要で、どのような2要素認証を使えばいいのかは示されない。標準の意図はこうした疑問を生じさせることにあり、答えることを意図していない。

ポリシーと標準の関係

　成功の鍵となるのは、自分たちの組織に合わせた情報ポリシーで業界標準を支えることだ。

　業界標準は、自社のセキュリティポリシーの策定と更新に当たっての概略を提示し、参考書的な役割を果たす。標準に定められた高度なベストプラクティスと、組織内に行き渡っている具体的なビジネスナレッジを組み合わせることにより、セキュリティとビジネスニーズを組み合わせたポリシーの作成が可能になる。

　例えば、ISFのグッドプラクティス標準では「不正侵入検知の手段は、ホスト侵入検知システムやネットワーク侵入検知システムといった専門ソフトで支えなければならない。このソフトは購入前によく調べる必要がある」と述べている。

　このベストプラクティスを実行可能なポリシーに置き換えるためには、幾つかの穴埋めが必要だ。対応するセキュリティポリシーは、例えば次のようなものになる。

　「ネットワーク侵入検知システムはネットワークの出入り口に設置する。ホスト侵入検知システムは事業上重要と定めたシステムに実装する。侵入検知システムのハードとソフトの評価、テスト、選定は、社内情報セキュリティ部門の管轄とする。侵入検知システムの監視とアラート情報の解析／分析、配信はSOC（セキュリティ専任の組織）の管轄とする」

　認定ハードとソフトの一覧、評価、テスト、選定、監視、解析／分析、配布といった機能を具体的にどう実施するかといった詳細については、標準・指針・手順などの実務文書で定める。

例外への備え

　事業上のニーズとセキュリティ上のベストプラクティスが衝突することもあるだろう。こうした状況に備えておけば、時間と予算が省け、イライラも軽減できる。

　各企業によって、ニーズやリスク許容度はそれぞれ異なる。ビジネスニーズが情報セキュリティのベストプラクティスより優先される一線がどこかにある。その例外に備えられるよう、以下を実現するためのプロセスを定めておくことだ。

どのようなリスクを犯しているのか理解する
リスクとその回避要因を文書化する
リスクを許容するかどうかについて説明を受けた上で決定を下し、それを文書化する
許容したリスクを定期的に見直し、新たな回避策があるかどうか、リスクは現在でも許容できるかを検討する

　例外処理のためのプロセスがしっかり定められていれば、ポリシー策定時には想定していなかった状況にも対処することが可能になる。

標準を目に見える行動に移す

　事業部門の管理職に標準的な情報セキュリティ標準を一部渡しておけば、多分使ってくれるだろう──休憩室でテーブルに載せた短い足の下に敷くために。

　事業部門の連中は、自分たちのシステムをセキュアにする方法について、情報セキュリティ部門から具体的な指示が欲しいと考えている。だが事業部門の管理職に「重要な情報を守るため2要素認証を使うように」と言っても無駄だ。情報が重要かどうかを判断する標準、ポリシーと関連付けたテスト・認定済みのセキュリティソリューション一覧など、組織に応じたツールをユーザーに提供する必要がある。ポリシーは指示マニュアルではない。ポリシーとは組織の意思について記した高いレベルの宣言書だ。ポリシーをどう実行するかについての具体的な情報は、手順書に記載しなければならない。

　ここで鍵となるのは、明確さと一貫性だ。組織内の誰に対しても同じ手順書とポリシー文書を提示して、標準を満たすために必要なセキュリティ措置について同じ結論を出してもらわなければならない。

　もし社内にインターネット監査部門がある場合、目に見える行動の策定プロセスにかかわってもらうのが望ましい。いずれにしても、この部門はコンプライアンス順守の判断を行うのであり、ほかの分野の監査や標準についての経験は貴重なリソースになる。監査人はこの実務をうまくこなすための構造的なアプローチを持っている。もし当局から社内標準について命令を受けたら、法務部門に相談するとともに、自分たちの標準が裁判で確実に持ちこたえられるようにしておくことだ。

　情報セキュリティのための業界標準は、すべてを解決してくれるものではない。全体的に見れば、これはいいことだとわたしは思う。行政や業界団体はベストプラクティスや目標についてとやかく言ってくるかもしれないが、安心して事業を営むための解決策を打ち出すのは会社の経営陣と情報セキュリティ専門家の責任なのだ。

本稿筆者のアル・バーグ氏は、業者間取引用電子市場Liquidnetの情報セキュリティ責任者。CISSP（公認情報システムセキュリティプロフェッショナル）の資格を持つ。情報セキュリティ分野に15年以上携わり、大手企業や米国防総省にコンサルティングサービスを提供してきた。米国と欧州で何度も講演し、ネットワーキングとセキュリティについて多数の記事を執筆している。

印刷する