情報セキュリティの基本としくみ/相戸浩志(4)
図解入門 よくわかる最新情報セキュリティの基本と仕組み―基礎から学ぶセキュリティリテラシー (How‐nual Visual Guide Book)図解入門よくわかる最新情報セキュリティの基本と仕組み第3版価格:1,890円(税込、送料別)第6章 情報セキュリティとの国際標準と法規6-3 ISO/IEC 27001 □ ISMSとは ・事業リスクに対するアプローチに基づき、情報セキュリティを確率、導入、運用、監視、見直し、維持及び改善する、マネジメントサイクル全体の中の一部 □ ISMSの文書構成 0.1 序文 1. 適用範囲 2. 引用規格 3. 用語および定義 4. 情報セキュリティマネジメントシステム 4.1 一般要求事項 4.2 ISMSの確立および運営管理 4.2.1 ISMSの確立 4.2.2 ISMSの導入及び運用 4.2.3 ISMSの監視およびレビュー 4.3 文書化に関する要求事項 4.3.1 一般 4.3.2 文書管理 4.3.3 記録の管理 4.3.4 ISMSの維持および改善 5. 経営陣の責任 5.1 経営陣のコミットメント 5.2 経営資源の運用管理 5.2.1 経営資源の提供 5.2.2 教育・訓練、意識向上および力量 6. ISMS内部監査 7. ISMSのマネジメントレビュー 7.1 一般 7.2 レビューへのインプット 7.3 レビューからのアウトプット 8. ISMSの改善 8.1 継続的改善 8.2 是正処置 8.3 予防処置6-4 ISO/IEC 27002 □ 概要 ・ 実践のための規範として、情報セキュリティの管理策の具体的な事例が列挙されています。そのため。章構成や項目の網羅性を流用して、情報セキュリティ・ポリシーを作るひな形にすることができます。 □ セキュリティ管理策11箇条 (ISO/IEC27001付属書Aに対応) a) セキュリティ基本方針 b) 情報セキュリティのための組織 c) 資産管理 d) 人的資源のセキュリティ e) 物理的及び環境的セキュリティ f) 通信及び運用管理 g) アクセス制御 h) 情報システムの取得、開発及び保守 i) 情報セキュリティ・インシデントの管理 j) 事業継続管理 k) 法的要求事項の遵守6-6 ISO/IEC 13335(GMITS) □ 情報セキュリティの管理手法のガイドラインとして発行された技術レポートのことです。 □ リスク分析の4つのアプローチ 1) ベースラインアプローチ ・すべてのITシステムに対して標準のセーフガードを選択することでベースライン(一定の水準)・セキュリティ・を適用する手法です。 2) 非公式アプローチ ・個人の知識や経験に基づく手法です。 3) 詳細リスク分析 ・すべてのITシステムに詳細なリスク分析を行う手法です。 4) 組み合わせアプローチ ・最初に上位レベルでリスク分析を行い、重要またhリスクが多き者には、詳細リスク分析を、それ以外はベースライン・アプローチを適用する組み合わせ手法です。情報セキュリティの基本としくみ/相戸浩志(1)図解入門 よくわかる最新情報セキュリティ/相戸浩志(2)情報セキュリティの基本としくみ/相戸浩志(3)情報セキュリティの基本としくみ/相戸浩志(4)