Blog/2010-04-26 - RT @K-SAMA:技術的ななにか

ISMSの確立

• 適用範囲を定義する。
• 基本方針を策定する。
• リスクアセスメントの体系的な取組方法を策定する。
• 保護すべき情報資産に対するリスクを識別
• リスクアセスメントを実施
• リスク対応の選択肢を明確にし評価
• 管理目的と管理策を選択

1. セキュリティ基本方針
2. 情報セキュリティのための組織
3. 資産の管理
4. 人的資源のセキュリティ
5. 物理的及び環境的セキュリティ
6. 通信及び運用管理
7. アクセス制御
8. 情報システムの取得、開発及び保守
9. 情報セキュリティインシデントの管理
10. 事業継続管理
11. 順守

• 残留リスクを明確にした上で経営陣の承認
• 運用の許可
• 適用宣言書で明確に公表

ITSMSの導入

• 要求事項の明確化(現状分析、要求事項の一覧)

1. 要求事項の洗い出し
2. 方策検討

• 要求事項対応の具体化(ITMSMS文書化：方針、規定、手順書)

1. 要求(対顧客要求、ビジネス上要求）
2. リスク対応

• 導入計画(計画書)

1. 適用範囲
2. 目的の明確化
3. 役割・責任割当
4. 作業スケジュール
5. 資源割当

• 導入計画の実施(実施記録)

1. 各プロセスの実施
2. 内部監査
3. マネージメントレビュー

情報セキュリティー

• 機密性

1. 情報が漏洩しないようにする。

• 完全

1. 情報を改ざんされないようにする。
2. 情報の取り扱いが手順されていて、その手順が確実に遵守されるようにする。

• 可用性

1. 自然災害やシステムダウンなどにより、情報が使えなくなる可能性を低くする。

• 追跡性

1. 情報利用者（不正利用者を含む）を一意に追跡できることを確実にする特性

• 証明性

1. ある事象がおきた場合に、証明する能力

• 信頼性

1. 意図した動作及び結果に一致する特性