セキュリティマネジメント規格の認証ＩＳＭＳ：ＩＳＯ２７００１とプライバシーマークの取得企業経営におけるＩＴ化の進展とともに、セキュリティ対策の重要性がますます高まってきている。しかし、具体的に何を、どこまで行えばよいかわからないという悩みを持つ企業は多い。ＪＢＴレポートＶｏｌ．５では「中小・中堅企業における情報セキュリティ」と題して、主に技術面の対策について報告した。本レポートは、技術面の安全対策に加え、経営システムとしてのセキュリティ対策全般を視野に入れ、セキュリティ関連規格の認証制度とその取得に焦点を当てる。認証取得により、営業機密、個人情報等の不正流出や、改ざんといった事故が予防できる。加えて、情報資産を整理することに伴い業務の効率化が図られると共に、自社のセキュリティレベルを取引先や社会に認知してもらうことにより、商機ＪＩＳ規格「工業化標準法」に基づき鉱工業の技術的事項を定めた規格。工業標準調査会（ＪＩＳＣ）の答申により主務大臣が「標準」を制定。規格番号は、ＪＩＳ・部門番号・分類番号・個別番号で表記される。国内規格としては、ＪＩＳの他日本農林規格（ＪＡＳ）、日本薬局方（ＪＰ）、日本電機工業会規格（ＪＥＭ），自動車規格（ＪＡＳＯ）などがある。認証マネジメントシステムの場合、「認証」の代わりに「審査登録」と言うことがある。ＩＳＯ国際標準化機構（International Organization for Standardization) の略称。1835 年のメートル条約を起源とし、1947 年に設立されたスイスに本部を置く民間の非営利組織。電機分野を除く鉱工業分野の国際規格を策定する。同組織が策定した標準化規格の総称としても用いられる。ＪＩＳは、ＷＴＯ（世界貿易機関）の国際協定によりＩＳＯと規格内容を整合させる必要がある。ＩＥＣ国際電気標準会議（International Electrotechnical Commission）または同団体が策定した標準化規格の略称。ＩＥＣは 1906 年に設立された電機分野の国際規格を策定する団体。 JBT Report Vol.9 １を広げることも期待される。標準化と認証標準化とは、効率的な研究や生産のため、多一方、「デファクト標準」は、標準化は早いが情報公開が不十分で不透明との指摘がある。くの仕様の中から「標準」あるいは「規格」を定めることを指している。ＩＳＯＪＩＳ規格は工業標準化法で定められた鉱工ＪＩＳ規格は、日本国内における鉱工業分野の業製品に関する代表的な規格である。農業分標準だが、同様に欧米の英国ではＢＳ、ドイツで野ではＪＡＳ規格になる。はＤＩＮ、米国ＡＮＳＩ、アジアでは中国ＧＢ、韓こうした法律など公的なお墨付きによる標準化を、あまり聞きなれないが「デジュール（de jure）標準」という。国ＫＳなどの規格がある。こうした各国の規格を国際的に標準化したものがＩＳＯである。ただし、ＩＳＯでは電気通信分この標準・規格に適合しているかどうか確認野は除かれており、電気通信分野はＩＥＣというすることを「適合性評価」といい、適合しているこ組織により標準化が行われている。情報通信分とについて保証することを「認証」という。野は、共通する内容が多いことから共同管理さ一方、こうした法律などに基づかない標準化れ「ＩＳＯ╱ＩＥＣ」と表記される。の流れがある。「デファクト（de facto）標準」であＩＳＯの規格には、ねじなどの工業製品が多り、標準化をめぐって激しい市場競争がある。かい。身近な例では、紙のＡ版規格は「ＩＳＯ216」つてのビデオの VHS 対βや、最近のブルーレである。近年、こうした製品規格から、マネジメンイディスクと HD DVD の競合である。パソコント規格へと対象が拡がってきている。標準化さソフトの Windows と MAC OS などもその代表れた規格にマネジメントが適合しているか否か例だ。もちろん、公的なお墨付きなどは無い。が評価の対象になる。激しい市場競争の中から事実上の「標準」を確立してきている。「デジュール標準」は透明性があるものの地現在では、次の「品質」「環境」「情報セキュリティ」が三大マネジメント規格とよばれている。・品質（ＱＭＳ）ＩＳＯ9000 ｼﾘｰｽﾞ域間、国家間の利害もあり標準化に時間がかか・環境（ＥＭＳ）ＩＳＯ14000 ｼﾘｰｽﾞる。・情報セキュリティ（ＩＳＭＳ）ＩＳＯ27000 ｼﾘｰｽﾞＩＳＯ番号、ｼﾘｰｽﾞ ISO 番号は、もともと規格化した順に付与される。類似する事項が増加した、あるいは増加が見込まれる場合、連番（ｼﾘｰｽﾞ）となるよう再整理されることがある。これをファミリー規格とも言う。品質（ＱＭＳ） ISO9000 ｼﾘｰｽﾞ品質マネジメントシステム (Quality Management System) ISO9001 は 1987 年制定。顧客満足度、信頼性・安心感の向上を目的に品質を保証する仕組みや手順を規定。環境（ＥＭＳ） ISO14000 ｼﾘｰｽﾞ環境マネジメントシステム (Environmental Management System) ISO14001 はブラジルでの環境サミットを契機に 1996 年制定。環境にやさしいやり方で仕事をするための仕組や手順を規定。情報セキュリティ（ＩＳＭＳ） ISO27000 ｼﾘｰｽﾞ情報セキュリティマネジメントシステム (Information Management System) ISO27001 は 2005 年英国の規格をベースに制定。国内規格は JISQ27001 として設定。これらの規格に基づき、 ISMS 適合性評価および ISMS 認証が行われる。 2009 年 7 月現在、 3,237 組織が認証取得。 ISO27002 は、実践規範（ガイドライン）を規定している。情報セキュリティマネジメントシスＭＳは個人情報の提供者の保護権利を擁護すテム（ＩＳＭＳ）ることが主目的である。また、ＩＳＭＳが企業の一ＩＳＭＳは、技術的なセキュリティ対策と組織マ部門でも認証できるのに対し、ＰＭＳはコンプラネジメントの両面から情報セキュリティのレベルイアンスを主眼とした個人情報の保護のため全向上を図る仕組みや手順であり、ＩＳＯ╱ＩＥＣ２７社がその審査対象になる。００１でその内容を規定している。図 1 ISMS と PMS の関係特に、技術依存ではなくプロセス管理を中心としたセキュリティマネジメントシステムのため総合的な効果が期待できる。ＩＳＭＳの適合性評価では、情報の機密性（権限のある人のみが情報にアクセスできる）、完全ＩＳＭＳＰＭＳ【主目的】事業継続・組織の情報資産の保護・個人情報の安全性確保【主目的】個人情報の提供者の権利擁護・利用目的の告知・開示等請求対応性（情報が改ざんされない）に加え、可用性（権限を有する人が必要な時に情報を得られる）を重視している。認証取得のメリットプライバシーマーク（ＰＭＳ）制度ＩＳＭＳやプライバシーマーク制度における適情報セキュリティ関係の認証ではＩＳＯ２７００１合性評価は、「第三者による認証」として、より客のほか、プライバシーマーク制度もよく知られて観的な評価になり、評価内容の信頼性が高い。いる。プライバシーマーク制度は、個人情報に具体的には次のようなメリットがある。適切な保護を行う体制（ＰＭＳ）を整備している ①設備や社員のセキュリティレベルが確認で企業などをＪＩＳＱ１５００１に基づいて認定する制度である。本人の了解を得て提供を受けた個人情報にき、リスクへの対処能力も改善される。 ②費用対効果を考慮した効果的な情報資産の管理ができる。ついて、その「安全対策」に加え「利用目的につ ③消費者、取引先等からの信頼が得られる。いての合意」「目的以外の利用の禁止」「第三者 ④法規制などへのコンプライアンスが確保さ PＭＳ個人情報保護マネジメントシステム（Personal information protection Management Systems）の略称。への提供の制限」「提供者からの開示請求などれ、入札条件などの制約に対し競争優位への対応」など個人情報の提供者の権利保護性を維持できる。プライバシーマーク（ＰＭＳ）制度 2005 年 5 月施行の「個人情報の保護に関する法律（個人情報保護法）」を基礎に、「JIS Q15001 個人情報マネジメントシステム要求事項」に規定に基づいた認証制度。「JIS」とあるように日本国内での認証制度。 2009 年 7 月現在、 10，543 社が認定取得。ＩＳＭＳとＰＭＳ JBT Report Vol.9 2 がその主たる内容となっている。ＩＳＭＳ導入のポイントいずれも情報セキュリティに関する認証制度であり、重複する部分もあるが、その目的とするところは異なる。ＩＳＭＳは、組織の情報資産を保護することにより事業の継続を図ることを目的としている。ＰＩＳＯ規格の多くが製品規格であり、品質、性能、安全性、寸法、試験方法など規格への適合性を比較的判断しやすい。マネジメントシステムの評価の場合、必要な対策を立案、実施し、その上でシステムを安定的、継続的に維持していくことがポイントになる。ＰＤＣＡサイクル生産や品質を管理する手法の一つ。Plan（計画）、Do（実行）、Check（点検）、Act（改善・処置）からなるフィードバック手法であり、各ステージの頭文字をとってＰＤＣＡサイクルまたは提唱者の名前からシューハートサイクル、デミングサイクルともいわれる。このため、ＰＤＣＡサイクルに基づくマネジメントを求められる。具体的には、Plan（計画）、Do（実行）の段階で主に次のような手順をとる。まず、評価を希望する企業は、「認証機関」（審査登録機関）に申請をする。認証機関は、・セキュリティ保護の対象とする情報資産の規格に適合しているか審査を行い、審査結果に範囲を明らかにするより認証登録する。3 年毎に更新審査が必要。・どの程度のセキュリティレベルとするかを会社が自主的に決める織を設置する産価値とリスクを確認する。そしてリスクへ「影響・損害」を明らかにする。このリスクアＥＣに直接認定申請する方法と、申請者が「指セスメントの作業がＩＳＭＳの基礎になる。定機関」に所属している場合、同指定機関によ ③各々の情報資産のリスクに対する安全管り認定を受ける方法とがある。更新期間は２年。理策を定め、実施する。ここで、システムの監視、情報へのアクセス制限、暗号化、バックアップ等を行うことになる。認証取得手続きのポイントＪＢＴでは、過去 2001 年に品質に関するＩＳＯ９００１の認証を得ているが、今般、情報セキュリティＩＳＯ２７００１の認証と、プライバシーマークＪＩＰＭＳにおいても、個人情報の保護・管理を目的にＩＳＭＳと同様にＰＤＣＡサイクルに基づＳＱ１５００１の認定を得た。この経験を踏まえ、ＩＳＭＳとＰＭＳの認証取得に際してのポイントをあげる。図2　認証の仕組みＩＳＯマネジメントシステム品質、環境など ISO9001 ISO14001 （情報セキュリティ以外）情報セキュリティ ISO27001 プライバシーマーク JIS　Q15001 認定審査登録機関５１機関申請審査・認証経営責任者・社長の役割は、情報セキュリテ自ら発信すること。また、運用をできるだけ簡潔海外認定機関（財）日本適合性認定協会ＪＡＢ１．経営責任者の積極的な関与ィに関する認証取得の重要性を社内に向けて国際相互承認認証・登録機関ジメント推進センター（ＪＩＰＤＥＣ）」になる。なお、プライバシーマーク制度の場合、ＪＩＰＤ続的に行っていくことになる。日本の認定機関ムは、「（財）日本情報処理開発協会・情報マネの「脆弱性」とリスクが顕在化した場合のこの後、Check（点検）、Act（改善・処置）を継品質、環境等の場合は「（財）日本適合性認定協会（JAB）」であり、情報セキュリティシステ ②次に、社内の情報資産を洗い出し、その資指定機関Ｐマーク付与指定機関の略。（社）情報サービス産業協会、（財）日本データ通信協会などＪＩＰＤＥＣが指定した団体。Ｐマークの申請受付、認定などを行っている。認証機関が、評価業務を行う能力を備えているか否かを審査する機関が「認定機関」になる。・目標を達成するための具体的な推進組（財）日本情報処理開発協会（ＪＩＰＤＥＣ）情報セキュリティマネジメントシステム（ＩＳＭＳ）適合性評価制度の運用と維持を行う日本における認定機関。ＩＳＭＳの認証を行う審査登録機関を認定している。認証制度の仕組み ①基本方針を策定し、推進体制を設置する。（財）日本適合性認定協会（ＪＡＢ） 1993 年品質マネジメントシステム審査登録制度の認定機関として発足し、その後環境マネジメントシステムなど事業範囲を拡大。分野いた管理システムを求められる。（財）日本情報処理開発協会ＪＩＰＤＥＣ指定認定審査登録機関２４機関申請審査・認証認証希望する事業者指定機関１６機関申請審査・認定指定機関に加入している事業者なものにし、日常的にセキュリティ管理が行われるよう具体的に指示することが重要である。２．推進体制の整備経営幹部をリーダーに、各部門から推進メンバーを選定して全社的に推進される重要プロジェクトであることを社内に明らかにする。 JBT Report Vol.9 3 ＪＢＴにおける認証マーク品質（ＱＭＳ）３．コンサルタントの活用選定の基準は、①自社の状況を正確に把握できる能力があること ②経験が豊富で最近の事例にも通じ、規程類の雛型も適切に選定してくれること ③必要なときに随時対応してくれる右：ISO9001 の認定機関である（財）日本適合性認定協会（JAB）のマーク中：認証機関（BSI マネジメントシステムジャパン）のマーク左：国際認定機関の米国適合性認定機関（ANAB）のマーク情報セキュリティ（ＩＳＭＳ）右：ISO27001 の認定機関である（財）日本情報処理開発協会（JIPDEC）のマーク取得までの期間は、申請までの準備期間と、申請から審査・認証までに分けることができる。申請までの準備期間は通常６～８ヶ月かかる。社内の取組み体制の充実、コンサルタントの活があることなどである。用、文書作成の合理化等々でかなり短縮できる４．認証機関の選定が、それでも最低３～４ヶ月程度は必要になる。認証機関は複数の中から選択できる。手続き申請から認証までの期間は、認証機関の閑等が迅速・丁寧かどうかが選択の基準になる。繁状況、能力に左右されることが大きい。２～３この判断のための情報入手はなかなか難しいヶ月審査待ちとなることもあるため、機関選定のが、直接認証機関に審査期間等を問い合わせ、際に確認しておく。その回答や応対時の印象で判断する。コンサ７．作業のポイントルタントからの情報も有益である。ＩＳＭＳ、ＰＭＳとも、資産（情報資産、個人情報資産）を洗い出し、洗い出した資産のすべて５．費用費用は、登録の審査費用の他、多くの場合コ登録審査費用は企業規模によるが、ＩＳＭＳでについてリスク分析を行う必要がある。この作業が一番重要であり、手間がかかる。ポイントは、まず、資産を分類する適切な体１００万円程度、審査機関ごとに若干金額が違う。系を構築する。そしてその体系に従がって情報ＰＭＳの場合は小規模企業で３０万円程度、大資産を洗い出すことが効率的である。企業では１２０万円程度になる。ＩＳＭＳあるいはＰＭＳの認証の重要性を理解コンサルタント費用は、どの程度の作業を依していても、それがすぐに売上の増加にはつな頼するかにより１００万円から３００万円程度までがらない。手数がかかりコスト増になる。しかし、大きな幅がある。その後は、登録維持費用と、情報流出、改ざん、滅失などのセキュリティリス更新のための費用がかかる。クはますます増加してきている。こうした前向きこのほか、社内費用として担当者の人件費が表１ ISMS 及びPMS 新規取得及び更新にかかる費用　（単位：千円） ISM S PMS ■取得時 ■取得時登録審査料　1,000　前後申請料　50 登録維持料　100　前後審査料　小200　中450　大950 マーク使用料　小 50　中100　大200 コンサルティング料 1,500　～　2,500 コンサルティング料 800　～　3,000 ■１年目、２年目継続時継続審査料　300　前後登録維持料　100　前後 ■２年目更新時申請料　50 審査料　小120　中300　大650 マーク使用料　小 50　中100　大200 ■３年目更新時更新審査料　650　前後登録維持料　100　前後（注）ＩＳＭＳ　40 名規模の会社ＰＭＳ　小：小規模企業、中：中規模企業、大：大規模企業 JBT Report Vol.9 4 ６．認証取得までの期間こと ④社内教育や内部監査へ支援する能力ンサルタント費用が必要だ。プライバシーマークかかる。専任で９～１２ヶ月必要なことが多い。のリスクヘッジは、長期的には組織の付加価値向上に結びつく。それぞれの企業の実情に合わせてＩＳＭＳ、あるいはＰＭＳへの取組みを行うことが重要になっている。【お問合せ先】 (株)日本ブレインウエアトラスト（略称：ＪＢＴ）〒101-0047 東京都千代田区内神田 2-15-9 内神田 282 ビル Tel : 03-5295-0571 Fax : 03-5295-0860 E-mail: [email protected] [ホームページ] http://www.jbt.co.jp/ [ＩＳＭＳ・ＰＭＳ担当責任者] 大根田、本間 2009.8