ISMSで重要なことは？と聞かれるとパッと出てくるのは何でしょうか？

多くの人は「機密性」「完全性」「可用性」の3つの要素をバランスよく維持すること、と回答すると思います。

この3つは正しくはISO/IEC 27000に記載されている情報セキュリティ（information security）の定義で、ここでは「情報の機密性，完全性及び可用性を維持すること。」と定められています。

実はこの定義には注記があるのをご存じでしょうか？

そこには「さらに，真正性，責任追跡性，否認防止，信頼性などの特性を維持することを含めることもある。」と記載されています。

3要素ほどは知られてはいませんが、情報セキュリティの重要性が高まる中ではこの注記部分に記載されている4要素も意識していかなければならない状況になってきています。

情報セキュリティに重要な3要素について、改めての解説です。

機密性とは、情報へのアクセス権限を設定し保護することを指します。アクセス難易度が上がればその分外部からの侵入が難しくなり、情報漏洩や破損する可能性を下げることが可能になります。

機密性を高める方法として、具体的には以下のような対策が考えられます。

• 物理的なアクセスができないよう、鍵をかけた部屋に保管したりデータセンターに保管したりする
• 強力なパスワードを設定する
• 該当データの保存フォルダにアクセス権限を設定する
• データへアクセス可能な端末を限定し、その端末自体を限られた人しか入れない部屋に設置する

完全性は該当する情報が常に正確な情報を維持している状態を指します。情報がいくら機密性の高い状態を維持していたとしても、その中身が書き換えられていたり過不足があったりするのであればまともに使用することができず、信頼性の低いデータとして利用価値がない状態となってしまいます。

具体的には以下のような対策で完全性の維持を行います。

• バックアップを取る
• 変更履歴やアクセス履歴を残す

可用性は、対象となる情報を利用する必要がある人間が必要なタイミングでいつでも使える状態を維持することを指します。いくらデータがあっても停電や事業所外からのアクセスなどで使えなければ情報としての価値はありません。可用性を高めることで、実務としての価値が出てくることになります。

具体的には以下のような対策で可用性を維持します。

• UPS（無停電電源装置）の導入
• クラウドストレージサービスの利用
• システムの多重化

この3つの要素は頭文字を取って「CIA」と呼ばれることがあります。

また、この要素はそれぞれ他の要素に対して影響を与えることがあります。

例えば機密性を高めるために個人情報のデータは本社の立ち入り制限された部屋の端末にローカルデータとして保存するルールにしてしまうと完全性や可用性の観点では非常に危うい状態となります。実際の運用の中では自社の実情に照らし合わせながらそれぞれの情報に対して事業運営に支障がない（少ない）範囲で3要素をできるだけ高める、という意識と仕組みを考えることが重要となります。

情報セキュリティの定義で注記として存在する4つの要素は、情報セキュリティを高めるための考え方として現在注目度が上がってきている内容です。主に情報を活用する際に、どのようにすればインシデントを発生させずに済むのかを考えるために重要になるのがこの4要素と言えます。

真正性は対象の情報に対してアクセスする人間が「本当にアクセスするべき人かどうか」を担保することを指します。関係ない外部の人間がアクセスしてしまうと情報漏洩やデータの破壊につながる可能性があるため、重要な要素です。単純なパスワードでは簡単に突破され、正規な認証方法でアクセスすべきではない人がアクセスしてしまう可能性があるため、認証方法の強化が重要です。

対策としては以下のようなものがあります。

• 多要素認証
• デジタル署名

責任追及性は対象の情報へのアクセスがどのような手順によって行われたのかを追跡できるようにすることを指します。インシデント発生時に手順を追えるようにすることで、誰が行ったどのプロセスのどの手順が要因なのかを判別していきます。

対策としては以下のようなものがあります。

• ログイン履歴
• アクセスログ
• 操作ログ

否認防止はインシデント発生後、その原因となった人物や対象から該当の行動を否定されないように証拠を残すことを指します。問題行動を指摘したとしても、証拠が残っていなければ水掛け論に終始してしまうため、しっかりと保存しておくことが重要です。

対策としては以下のようなものがあります。

• ログイン履歴の保存
• アクセスログの保存
• 操作ログの保存

信頼性はデータに対する操作が意図したとおりに動くことを指します。ヒューマンエラーやバグによって、手順通りに行ったはずなのに意図しない結果が出力されることがあると正しい情報ではなくなってしまい、情報の価値が失われてしまいます。

対策としては以下のようなものがあります。

• システム開発時のしっかりとした設計書レビューやテスト
• フールプルーフやフェイルセーフを前提とした運用設計

ご紹介したこれらの4要素はCIAの要素と比較して、インシデントを防止するための要素、インシデントが発生してしまった後の対処のための情報としての意味合いが強いことがわかるでしょうか？当然のことですが、情報は使われなければただの文字の羅列となります。同時に、情報を利活用することはインシデント発生の可能性を上げることにも他なりません。現実的な問題としてインシデントの発生率を0にすることは難しいため、発生を前提としてどのような観点で事前準備を行うべきかを示したものがこの4要素と言えます。

ご紹介したこれらの点を意識してソリューションや社内ガイドラインを設定していくことで、抜け漏れのない対策ができるような形になっています。

ISMSを意識するうえでCIAの3要素が重要とは言われつつ、実務レベルでどのような観点を持って対策を行うべきかは、なかなか見えにくいところでした。

この拡張定義を加えることで、社内の情報セキュリティ体制での抜け漏れがないかどうかを改めて確認できるようになったのではないでしょうか？

再度体制を確認し、不足している点があれば対策しセキュリティレベルを上げていきましょう。特に今回ご紹介した4要素は、全体としてシステムでの対応により負荷軽減できる範囲が多いので、積極的なソリューションの導入が効果的であると考えています。

Trend Micro Cloud One - Workload Security™はWEBサーバ、特にパブリッククラウドへのサイバー攻撃に対してオールラウンドで対応できるソリューションです。

1ライセンスから導入可能で月額課金という料金体系のため、イニシャルコストを抑えやすくスモールスタートが可能となっています。

Trend Micro Apex One SaaSはセキュリティをクラウドからサービスとして提供する (Security as a Service)として、クラウド基盤を活用した新しいインシデント対応を行っています。

管理サーバのメンテナンスを不要とし、自動アップデートにより運用管理工数を大幅に削減、管理コストの最適化を図ることのできる「サービスとしてのセキュリティ (SaaS)」です。

先進技術と実績ある技術を融合したXGen(クロスジェネレーション)のセキュリティアプローチによりスクリプト、インジェクション、ランサムウェア、メモリ、ブラウザ攻撃に対する効果的な保護を実現するほかWebレピュテーション機能によって不正URLへのアクセスをブロックすることでフィッシング被害を抑制することも可能です。

Trend Micro Cloud App Security™（CAS）はMicrosoft 365のメールサービスやファイル共有サービス等でやりとりをするメールやファイルに含まれるランサムウェアや標的型サイバー攻撃によく利用されるOfficeファイルをはじめとするビジネスでよく使用される形式のファイルに潜む不正プログラムを検出します。

ドキュメントエクスプロイトの検出技術と挙動分析により未知の不正プログラム、不正URLも検出できるメール・コラボレーションセキュリティ製品で人間のセキュリティ意識と合わせ効果的にランサムウェアを防御することができます。

※すべての未知の脅威に対応するものではありません

また、トレンドマイクロではExchange Onlineを使用しているお客さま向けに今まですり抜けていた脅威をスポットで可視化するためのサービスとして以下のサービスをご提供しております。

ご活用いただける環境にありましたらぜひお試しください。

Trend Micro Security Assessment Service™