 |
|
|
情報セキュリティに関する
香港で事業を展開している日系企業の中には各種ＩＳＯ規格の認定を取得、もしくは取得を予定している会社も多いのではないでしょうか。１９８０年代から１９９０年代後半にかけて様々なＩＳＯ規格が発行されましたが、各規格間で十分に整合性がとられているとはいえず、企業にとって混乱の元になっていました。近年、各規格を標準化するためのガイドが発行され、時代の流れに伴う各規格自体の見直しとともに当該ガイドに準じた構成や文言の定義が変更されています。本稿では当ガイドに基づく見直しが行われたＩＳＯ２７００１規格の改訂のポイントをご紹介します。
××××××××××××××××××××××××××××××××××××××××××××××××××××
ＩＳＯとは まずＩＳＯについてご説明します。ＩＳＯとはInternational Organization for Standardization（国際標準化機構）の略称であり、工業分野における国際的な標準規格を策定するための民間の非営利組織です。ＩＳＯによって策定された国際規格は「ＩＳＯXXXXX」という形式で識別され、よく知られているものとしてはＩＳＯ９００１（品質マネジメントシステム）、ＩＳＯ１４００１（環境マネジメントシステム）、ＩＳＯ２２０００（食品安全マネジメントシステム）、そして今回その改訂に触れるＩＳＯ２７００１(情報セキュリティマネジメントシステム）が挙げられます。規格を取得したい会社は、ＩＳＯによって選定された機関による審査を受けて社内のプロセスがＩＳＯ規格に沿っていることを示す必要があります。なおＩＳＯ規格は取得すれば終わりというものではなく、３年毎の更新審査を受けながら継続的にプロセスの改善を進める必要があります。
ＩＳＯ規格標準化の流れ
前述のＩＳＯ規格を含めてこれまでに発行された規格は文書ごとに構成がバラバラであったり、各規格内で用いられる文言の定義に齟齬がありました。そのため複数のＩＳＯ規格を取得している企業において規格を統合的に運用することが難しい状況でした。この状況を改善するためにＩＳＯは検討を重ねて共通文書を作成し、新たに規格を制定改訂する場合は原則としてこれに従うこととしました。後述するＩＳＯ２７００１は当文書に基づく改訂が行われ、ＩＳＯ９００１やＩＳＯ１４００１も２０１５年を目処に改訂される予定となっています。 ＩＳＯ２７００１とは
ＩＳＯ２７００１は組織が保有する情報資産を様々な脅威から守るための管理体制（注１）の国際規格です。当規格に基づいて情報の機密性、完全性、可用性の３つの観点から資産管理の体制を整備することで効果的に情報セキュリティを高めることができます。ＩＳＯ２７００１規格を取得するメリットとしては、社会的信用や顧客からの信頼度の向上、情報が漏洩するリスクの低減、自社内における情報セキュリティに対する意識の向上が考えられます。ＩＳＯ規格は５年ごとに定期的に見直しが行われることになっており、２００５年に発行されたＩＳＯ２７００１（２００５年版）は２００７年から改訂の審議が開始され、２０１３年10月１日にＩＳＯ２７００１（２０１３年版）が発行されました。 ＩＳＯ２７００１改訂のポイント ＩＳＯ２７００１（２００５年版）からＩＳＯ２７００１（２０１３年版）への改訂は「ＩＳＯ規格標準化の流れに伴う改訂」と「外部環境の変化に伴う管理策／管理目的の改訂」の２つに大きく分類できます。それぞれの改訂のポイントについて以下にご紹介します。 ・ＩＳＯ規格標準化の流れに伴う改訂 ⒈構成変更
前述のとおり新たに規格を改訂する場合は共通文書に沿った構成にすることがＩＳＯから求められています。そのためＩＳＯ２７００１の改訂においてもそれに従って、構成が大きく変更されました（図１）。
⒉リスクの定義の変更 他のＩＳＯ規格との整合を図るためにリスクの定義の解釈が拡大されました。具体的には、ＩＳＯ２７００１（２００５年版）ではネガティブな意味に限定されていましたが、ＩＳＯ２７００１（２０１３年版）ではその限りではなくなりました。したがって、これまでの情報セキュリティに関するリスクは情報漏洩や不正アクセス等の悪影響を及ぼすものが代表的でしたが、今後は企業価値の向上や事業範囲の拡大といった好影響を及ぼす事柄もリスクとして考慮することが望まれます。 ・外部環境の変化に伴う管理策／管理目的の改訂 ⒈可用性に関する検討 情報資産のリスク評価において、これまでは機密性を検討すれば十分でしたが可用性についても検討することが必要になりました。可用性とは情報を必要なときにいつでも利用できる状態の度合いのことであり、自社が情報資産のそれぞれの重要性を識別した後に求められる可用性を検討したうえで対策を立案することが必要になります。 ⒉公衆ネットワーク上のアプリケーションサービス これまでは電子商取引（注２）を行っている会社のみがインターネット等の公衆ネットワーク上のセキュリティについて検討すればよかったのですが、２０１３年版からはそれに加えてクラウドサービス（注３）を利用している会社も同様に検討しなければなりません。
ＩＳＯ２７００１（２０１３年版）移行スケジュール 規格認証を受けている組織の審査タイミングはそれぞれ異なることから、国内のＩＳＯ２７００１認証機関（注４）である一般社団法人日本情報経済社会推進協会（JIPDEC）は認証規格の移行をＩＳＯ２７００１（２０１３年版）の発行日から２年後の２０１５年10月１日までに完了させると公表しています。また当協会は今後の維持審査や認証再取得の審査で、新旧の差分審査を行うことを検討しています。
おわりに ＩＳＯ２７００１に限らず規格認証の取得を予定している日系の香港現地法人にとって、審査機関や認証取得支援先の選定は非常に重要であると考えられます。自社のプロセスや日本と香港の商習慣の違いを理解して本当に有効な指摘や支援を行う機関を選定しなければ、ＩＳＯ規格を取得したとしても思ったほどの効果を得ることができなかったり、せっかく構築した仕組みが形骸化してしまう恐れがあります。それを防ぐためには、「ＩＳＯ規格取得を自社のプロセス改善に活かしたい」「規格取得によって取引先からの信頼を得たい」というような目的をしっかりと定め、香港ローカルの審査機関や支援先を選定したとしても事前に十分なコミュニケーションを行うことが必要です。 ＩＳＯ規格を取得している会社では、規格改訂への対応を通していま一度自社のプロセスを見直すことも一考です。場合によっては自社プロセスの変更も必要になりますので、事前に改訂された点を十分に調査しておくことが必要だと考えられます。
※１…この管理体制のことをＩＳＭＳ（Information Security Management System）と呼ぶ （このシリーズは月１回掲載します） 筆者紹介 佐々木 英樹（ささき ひでき） Deloitte Touche Tohmatsu香港事務所エンタープライズリスクサービス部門コンサルタント。システム監査技術者、情報セキュリティスペシャリストの有資格者。 大手システムインテグレータを経て2009年監査法人トーマツ（現有限責任監査法人トーマツ）入所。金融機関や保険会社のシステムリスク外部評価、システム監査やSSAE16をはじめとするIT関連の保証業務に従事。2013年よりDeloitte Touche Tohmatsu 香港へ赴任。香港資本の事業会社へのシステム監査、日系香港現地法人へのIT関連サービスの提供を行っている。連絡先：hidsasaki@deloitte.com.hk |
|
.jpg)
|