イベント・セミナー情報

「ISO/IEC 27000ファミリー規格の最新動向」　

＜概要＞
　ISMS要求事項を示すISO/IEC 27001:2013は、ISOのマネジメントシステム規格の共通要素を規定する文書の改訂開始、先行して開始されたISO/IEC 27002の改定状況などを踏まえつつ、改訂に向けた調査・分析を継続し、改訂開始時期及び内容を検討しています。
　また、セクター規格については、ISO/IEC 27019、ISO/IEC 27701など、セクター規格の発行が進む状況において、その様式や記述方法をより明確化するためのISO/IEC 27009の改訂、要求事項を含むセクター規格のISMSとの関係に関する認識合わせなど、さまざまな取り組みを進めています。
　サイバーセキュリティに関する技術仕様書（TS）の検討も継続されており、サイバーセキュリティのコンセプトの共通認識化などを進めています。
　本講演では、こうしたISO/IEC 27000ファミリー規格の開発動向を、情報セキュリティ分野の標準化を行っているISO/IEC JTC 1/SC 27の活動をもとにご報告します。

「ISO/IEC 27002改定について」

＜概要＞
　情報セキュリティ分野で管理策の手引として広く活用されているISO/IEC 27002は、2013年版の出版から6年が経ちました。この間に、組織におけるICTの活用において、情報セキュリティへの取組みに影響する変化が進行しています。例えば、クラウドサービス利用の一層の浸透、産業活動の基盤に組み込まれたICT利用や、サイバーセキュリティについての認識の広がりがあります。また、ISO/IEC 27002の活用経験に基づく改善の必要性も議論されるようになっています。これらを背景に、今、ISO/IEC 27002:2013の次の改定に向けた検討が情報セキュリティ分野の国際標準化活動の場であるISO/IEC JTC 1 SC27において進められています。改定版出版の時期は流動的ですが、およそ2年後が想定されます。
　本講演では、情報セキュリティの国際的な動向を背景に、ISO/IEC 27002改定の目的、概要と特徴を解説し、また、ISO/IEC 27001を含む一群の国際標準の中でISO/IEC 27002が担う役割を展望します。

「クラウドセキュリティ議論のスタートライン」

＜概要＞
ISMSクラウドセキュリティ審査員研修の講師をしていることもあり、クラウドセキュリティについて、質問をいただいたり、議論したりする場面が増えました。そうした中で感じるのは『クラウドって人によって持っているイメージがまるで違うんだな』ということです。それぞれの人がイメージしているクラウドサービスによって議論のスタートラインが違ってきます。
まずは、以後の議論のスタートラインを明確にすることを意図して、基本に立ち返ってクラウドセキュリティを概観します。

「最新の環境変化に伴うISMSの実装検討（クラウドファースト時代のリスクマネジメントの事例研究）」

＜概要＞
　企業を取り巻くビジネス環境はめまぐるしく変化しており、そのスピードに追随しながら日々発生する様々なリスクに対して柔軟に対応することが求められている。また、ビジネススピードは益々加速しており、クラウド抜きではビジネスを語れない状況となっている。
　それに伴いどの企業でもクラウドシフトによるリスクの増加があり、直面する課題として適切にリスクマネジメントすることが求められている。しかし、クラウドサービスの導入のスピードに比較してリスクアセスメントの前段としてのリスク認識も現場サイドではあまり一般化されていないのが現状である。
　本テーマではクラウドファーストの流れの中でなにが発生しているのか事象に着目して、情報のシフト、野良クラウド、非正規の使い方の３つの事例を中心に課題の深堀を実施した。なお課題を可視化することで従来のISMSの枠組みに＋αとして必要な対応策を洗い出すことでISMSの実装及び運用における方向性を示すことを目指した。
　また、今回は新しい試みとして情報セキュリティの世界にデザイン思考の考え方を導入し、ペルソナを設定することで課題の深堀を実施した。

「ISMSの管理策の実装　イベントログについての考察」

＜概要＞
　テーマ2では、“ISMSの規格の要求だけでは組織に実装するのが難しい管理策は何か”、そして、“それを解決するにはどのように考え実装すればよいか”を研究することとしました。管理策が要求している事項を考察し、具体的な対策事例を例示することにより組織の運用への実装を後押しできるのではないかと私どもは考え、議論をスタートいたしました。
　今回検討対象とした管理策は「A.12.4.1　イベントログ取得」としました。この管理策を選定した背景は、『ログの取得』や『ログの保持』は出来ているが、『ログのレビュー』についてはどこまで実施すればよいのだろうとの研究会メンバの意見からでした。
　ログは、ファイルサーバやメールサーバなど多くの場面で取得され保持されています。ログは証拠や正常確認のために取得・保持するだけではありません。レビューすることで、証拠や正常性確認のための“生きたログ”になると考えました。
　『ログのレビュー』について、専門的な解析手法などではなく、一般的なプロセスやシステムを利用する上で参考となる事例をテーマ２ではまとめ、ISMSを取得している組織が、運用を始めやすい『ログのレビュー』について考察し、例示しました。
　ログのレビューの目的や、具体的な事例を通して、私どもの研究成果を共有いたします。