情報処理安全確保支援士
masazan (masazan)
情報処理安全確保支援士のmasazanと申します。
サイバーセキュリティ情報をわかりやすく発信します！
～～～セキュリティの基本を体系的に学べます～～～
「もし重要度を見誤って事故が起きたら、全部自分の責任になるのだろうか…」
「経営層からは『しっかり守れ』と言われるけれど、具体的な基準がなくて判断に迷う…」
一人情シスにとって、大量にある情報資産すべてに完全な対策を施すのは現実的ではありません。
まずは優先して守るべき情報資産の選定が重要です。
この記事では、情報資産を把握する重要性から限られた時間で効果を出すための情報資産の評価方法を解説します。
客観的な評価により守るべき情報資産の優先度が明確になり、集中してセキュリティ対策のリソースを投入できるようになります。
情報資産の分類により情シスの心理的プレッシャーを低減し、会社と自身の身を守る有効な対策が策定できるでしょう。
情報資産を把握していないために生じるリスク
情報資産の全体像が見えていない状態は、セキュリティ対策における脆弱性につながります。
資産を把握していないために生じるリスクは、以下のとおりです。
- セキュリティ対策の優先順位誤り
- 重要なデータの見落としによる漏えいの発生
- 復旧作業の長期化
３つのリスクを詳しく見ていきましょう。
セキュリティ対策の優先順位誤り
一人で組織全体のITインフラを支える状況では、全ての資産を一律の強度で保護し続けるのは困難です。
資産の重要性が曖昧なままでは、守るべき対象とそうでない対象を適切に区別できません。
セキュリティ対策を講じても、本来であれば即座に修正すべき脆弱性が後回しにされるおそれがあります。
一方で、事業への影響が軽微な端末やデータに対して、過剰な労力やコストを費やしてしまう無駄も発生しかねません。
限られた時間の中で効果を得るためには、守るべき対象の順序を明確にする判断材料が不可欠です。
リスクの高い箇所を特定し、集中的なリソースを配分する戦略こそが一人情シスに必要な戦略といえます。
重要なデータの見落としによる漏えいの発生
組織内にどのようなデータがどこに存在するかを把握していない場合、適切なセキュリティ対策ができません。
特に個人情報や技術情報が開発用のサーバーや個人の端末に放置されているケースは、多くの企業で散見される課題です。
不適切に放置された資産が外部へ流出すると法的な制裁や社会的信用失墜のおそれがあります。
データの所在や種類を正確に記録していれば、漏えいが発生した際の調査や被害範囲の特定も迅速に行えるようになります。
情報漏えいを未然に防ぐ第一歩は、守るべき情報の全体像を細部まで漏れなく可視化し、管理下に置く点です。
見えないものは守れないため、潜在的なリスクを抱えるデータの洗い出しを徹底しなければなりません。
復旧作業の長期化
万が一システム障害やランサムウェア攻撃に見舞われた際、復旧の優先順位が不明確な場合、スムーズな復旧ができません。
例えば基幹システムよりも先に社内掲示板の復旧に着手するような、本末転倒な判断が下されるおそれもあります。
また、復旧にかかる時間が伸びるほど、取引先への賠償や売上の機会損失といった経済的なダメージは増大します。
資産の重要度を事前に定義していれば、緊急時でも迷う場面が減り、最短ルートでの事業再開に向けた行動が可能です。
迅速なリカバリを実現するためには、平時から「どの業務が止まると事業継続ができないか」という視点での評価が重要になります。
セキュリティ対策を左右する情報資産の分類
守るべき資産にランクを付ける作業は、限られたリソースを有効活用するために必要です
セキュリティ対策の効率を左右するIT資産の分類は、以下のとおりです。
- 守るべきものの優先順位を明確にするため
- 限られた予算と時間を有効活用するため
適切に分類を行い、セキュリティ対策の費用対効果を向上させる体制を整えましょう。
守るべきものの優先順位を明確にするため
情報資産を分類する意義は、限られた人的資源を守るべき資産へ集中させる環境を作る点にあります。
全ての資産を最高レベルで保護しようと試みれば、予算も時間も足りなくなるため、結果として全体が脆弱になりかねません。
重要度が高い資産には厳格なアクセス制御を課し、低い資産には利便性を優先するといった柔軟な運用が理想です。
また、組織にとっての価値を定量的に評価すれば、経営層に対してもセキュリティ投資の妥当性を説明しやすくなります。
優先順位が明確であれば、新たな脅威が出現した際にもどの範囲から対策を適用すべきかを即座に判断できるようになります。
限られた予算と時間を有効活用するため
一人情シスに与えられた予算や時間は有限です。
全てのシステムやサーバに高価な監視ソフトを導入するのは、多大な予算がかかるため現実的ではありません。
資産のランク付けが適切に行われていれば、コストパフォーマンスを最大化できる製品選定や設定の検討が可能になります。
外部からの標的になりやすい公開サーバや、重要なデータを格納したサーバへ優先的にセキュリティ対策ソリューションを導入するといった運用が可能です。
リソースの配分に明確な根拠があれば、周囲からの不当な要求や突発的な作業依頼に対しても、論理的に断る理由になります。
少ない投資で大きな効果を得るためには、資産の価値を見極め投資の集中と選択を行う姿勢が大切です。
重要度を決定する3つの評価指標
セキュリティの基本であるCIAの視点を持つと、資産の価値を客観的に測定できるようになります。
重要度を決定する3つの評価指標は、以下のとおりです。
- C:アクセス制限の要となる機密性の定義
- I：情報の正確さを保証する完全性の役割
- A:必要な時に利用できる可用性の重要性
指標ごとに評価を行う作業を通じて、守るべきデータを多角的に分析していきましょう。
アクセス制限の要となる機密性の定義
機密性とは、許可された特定の利用者だけが情報にアクセスできる状態です。
機密性が高いほど、第三者に知られた際の影響が大きく厳重なパスワード管理や暗号化が求められます。
例えば未発表の新製品情報などは、機密性が高い資産として分類するのが一般的です。
分類を誤り機密性の高い情報を全社員が閲覧できる設定にしていれば、内部不正による流出リスクが発生します。
情報の公開範囲を段階的に設定する根拠となり得るのが機密性の評価であり、アクセス権限管理の設計における原則です。
適切な機密性の定義は、社員が必要な情報だけにアクセスする環境を整え、意図しない情報漏えいを防止します。
情報の正確さを保証する完全性の役割
完全性は情報が改ざんされたり破壊されたりせず、常に正確な状態を指します。
財務データや顧客の注文履歴など、一箇所の数字が変わるだけで事業に支障が出る資産は完全性が高くなります。
もし会計システムのデータが不当に書き換えられれば、決算報告の信頼性が失われ信用の失墜を招きかねません。
完全性を維持するためには、編集権限を制限する仕組みや変更の履歴を記録するログ管理の導入が有力な手段です。
情報のライフサイクル全体を通じて、常に正しい状態が維持される仕組みが重要です。
必要な時に利用できる可用性の重要性
可用性は認可された利用者が、必要な時にいつでも情報やシステムを確実に利用できる状態です。
24時間稼働が前提のECサイトなどは可用性が高い資産であり、システムが停止すれば機会の損失を招きかねません。
可用性を高める対策には、サーバーの冗長化やバックアップ回線の確保など多額の設備投資が必要になります。
全てのシステムに高い可用性を求めるとコストが膨れ上がるため、事業の根幹に関わる部分を見極める判断が重要です。
可用性の評価に基づいた計画的なインフラ投資を進めましょう。
3段階の重要度判定ルールと算出方法
誰でも判断できるシンプルな分類ルールが重要です。
3段階の重要度判定ルールと算出方法は、以下のとおりです。
- 機密性・完全性・可用性の最大値による重要度決定
- 事業に深刻な影響を及ぼす重要度3の判断基準
- 広範囲の業務に支障が出る重要度2の定義
- すべての評価値が1の場合の重要度判定
判定のプロセスを標準化する作業により、一人情シスの判断スピードと正確性を向上させます。
機密性・完全性・可用性の最大値による重要度決定
資産の重要度を決定する際は、CIAの各評価値の中で最も高い数字を採用する「最大値方式」が推奨されます。
例えば機密性が「3」、完全性が「2」、可用性が「1」であれば、資産の総合重要度は「3」として扱います。
一つの項目でも高いリスクであれば、資産全体として厳重な注意を払う必要があるという考え方にもとづくためです。
事業に深刻な影響を及ぼす重要度3の判断基準
重要度3に分類されるのは、資産に問題が生じた際に事業継続ができなくなるような対象です。
重要資産が漏えいあるいは破壊された場合、巨額の損害賠償や行政処分が下されブランドイメージを大きく損ないます。
重要度3の資産に対しては、多要素認証の導入や暗号化の徹底、リアルタイムのログ監視といった高度な対策が必要です。
危機管理の観点からも、重要度3の資産を監視し異常があれば即座に検知する体制を整えましょう。
広範囲の業務に支障が出る重要度2の定義
重要度2は、事業の継続は可能であるものの、多くの部署で業務効率が著しく低下する資産を指します。
各部署で日常的に使用されるファイルサーバーや、顧客との連絡に使うグループウェアなどが対象です。
重要度2の資産は数も多くなりがちなため、運用の自動化を進めて情シスの手間を減らしつつ、安全性を確保する工夫が求められます。
コストと手間のバランスを考慮し、過剰な対策にならない程度にセキュリティレベルを一定以上に保つ運用を心がけましょう。
すべての評価値が1の場合の重要度判定
機密性、完全性、可用性の全てにおいて評価が「1」となった資産は重要度1として分類されます。
外部に公開されている広報資料や営業資料が該当します。
資産が消失したり、一時的に利用できなくなったりしても、組織全体の業務にはほとんど影響を与えません。
高度な監視や複雑なアクセス制限を省き、あえて管理の強度を下げ効率化を行います。
資産台帳上では存在を明確にしつつ、コストをかけない運用を徹底しメリハリのある管理体制を目指しましょう。
具体的な情報資産と評価の例
業務で扱う資産がどの分類に当てはまるのかを具体的に解説します。
具体的な情報資産と評価の例は、以下のとおりです。
- 個人情報やマイナンバーを含む最重要な資産
- 設計図や会計情報など完全性が求められるデータ
- ECサイトやクラウドサービスなど可用性が求められるシステム
- 事業への影響が限定的な公開情報やカタログ
個人情報やマイナンバーを含む最重要な資産
顧客の氏名や住所、電話番号などの個人情報は法的な保護が定められており機密性は最高レベルの3に設定します。
データがひとたび流出すると、社会的信用の失墜だけでなく法的な罰則や損害賠償責任を負うおそれがあるためです。
特にマイナンバーは特定の事務以外での利用が禁止されており、アクセス権限を最小限に絞る厳密な管理が法律で求められます。
情報の価値とリスクを正しく理解しリスクを排除する体制こそが、情シスの役割といえるでしょう。
設計図や会計情報など完全性が求められるデータ
製造業の要である設計図面や、企業の財務状況を示す会計データは高い完全性が求められます。
図面の数値がわずかに書き換えられるだけで、製品の不具合や事故を招き人命に関わるリスクへと発展しかねません。
会計情報も同様で金額が不正確であれば、適正な決算が行えず経営判断を誤らせる要因となります。
対策として、ファイルの編集権限を承認制にしたり、デジタル署名を付与して改ざんを検知したりする仕組みの導入が有効です。
もしデータに異常が発見された場合に備え、世代管理を伴うバックアップを頻繁に行い、正常な状態へ即座に戻せる準備を整えます。
データの信頼性を守るための堅牢な仕組みを構築していきましょう。
ECサイトやクラウドサービスなど可用性が必須のシステム
一般消費者向けのECサイトや、全社員が業務で利用するSaaSなどのサービスは可用性の評価が3となる代表例です。
サイトが数分間ダウンするだけで、その間に発生するはずだった売上が消失し、ブランドへの不信感が急速に広がります。
可用性を最優先するシステムでは、サーバの二重化やオートスケーリングの活用により、障害時もサービスを継続させます。
バックアップからの復旧手順を定期的にテストし、誰が対応しても迅速に復帰できる体制をマニュアル化する点も重要です。
こうした資産では、何よりも「動いている状況」がビジネスの継続に直結し顧客満足度の向上と収益を生み出します。
止まらないシステムの構築は、企業が情シスに求める最も重要な要素といえるでしょう。
事業への影響が限定的な公開情報やカタログ
自社のウェブサイトで誰でも閲覧できる製品カタログや、プレスリリースのアーカイブなどの評価は1になります。
社外に広く知れ渡る前提の情報であり、盗まれたり漏えいしたりしても、組織に直接的な損害を与えるリスクはほとんどありません。
したがって、対象資産の重要度は1と判定され、セキュリティ上のリソース配分は管理のコストを抑える判断が有効です。
価値の低い資産を見極める力が、情シスの限られたリソースを有効活用するためのポイントといえます。
法令や義務に基づいた適切な評価基準
社内独自の基準だけでなく、法律や契約といった外部からの要求を反映させる視点が、企業の安全を確かなものにします。
法令や義務に基づいた適切な評価基準は、以下のとおりです。
- 個人情報保護法で安全管理が義務付けられた情報
- 不正競争防止法で保護される営業秘密と限定提供データ
- 取引先との契約や守秘義務における注意点
コンプライアンスを遵守した分類により、法的リスクからも会社を守る体制を構築しましょう。
個人情報保護法で安全管理が義務付けられた情報
個人情報保護法は、全ての事業者に個人データの安全管理措置を講じるよう義務付けています。
法に基づき個人データを含む情報資産は適切に保護しなければなりません。
もし安全管理を怠り情報漏えい事故が発生した場合、個人情報保護委員会からの勧告を受け、従わない場合は刑事罰の対象となります。
加えて、本人から損害賠償を請求されるリスクもあるため、コンプライアンスの遵守はセキュリティ対策の必須条件です。
情シスは、社内のどのシステムに個人データが含まれているかを管理し保護状況を定期的に点検する必要があります。
単なる社内ルールではなく、法制度に従い適法かつ確実な資産管理を推進する姿勢が求められます。
不正競争防止法で保護される営業秘密と限定提供データ
不正競争防止法では、一定の要件を満たした「営業秘密」を保護の対象としており、適切な管理が不可欠です。
営業秘密として認められるには、秘密として管理されている状況や事業活動に有用である事実などの3条件が必要です。
設計図や顧客名簿といったデータが、法的に「秘密」として保護される状態にあるかをシステム上で確認する必要があります。
技術情報の漏えいは企業の競争力を一瞬で奪うため、厳密な管理体制をシステム面から支えていきましょう。
取引先との契約や守秘義務における注意点
企業間の取引においては、多くの場合で秘密保持契約（NDA）が締結され、預かった情報の厳重な管理が約束されています。
自社の基準では重要度が低く思える情報であっても、契約上で指定されていれば従わねばなりません。
取引先から提供された資料や図面を紛失したり流出させたりすれば、契約違反による損害賠償や取引停止という結果を招きます。
場合によっては、自社の最重要資産と同等の保護レベルを適用する状況を契約で求められるケースも少なくありません。
情シスが契約内容を把握せず、現場の判断だけで資産を分類していると知らぬ間に重大な契約違反を犯す危険性があります。
法務部門と連携し、外部から預かった資産を識別できるように管理する対策が有効です。
IT資産管理の実践手順
評価の基準が決まったら、実際の管理台帳を作成する段階に入ります。
IT資産管理の実践手順は、以下のとおりです。
- 情報資産管理台帳の作成と現状把握
- 重要度に基づいたセキュリティリソースの配分
- 評価基準の定期的な見直しと更新
着実なステップを踏む作業を通じて、実効性の高いアセットマネジメントを組織に定着させていきましょう。
情報資産管理台帳の作成と現状把握
資産管理の第一歩は、社内に存在するあらゆる情報資産を網羅した「情報資産管理台帳」の作成から始まります。
まずはPCやサーバーといったハードウェアだけでなく、ソフトウェアやデータまで全てを洗い出す作業が必要です。
その上で台帳に資産の名称、保存先、管理部門、利用範囲といった基本情報を記録し、現状を正確に可視化するのが目的です。
情報資産台帳として、独立行政法人 情報処理推進機構（IPA）より様式とサンプルがダウンロードできるので、参考にするとよいでしょう。
一人情シスの場合は一度に全てを把握するのは難しいため、主要なシステムから段階的な登録が推奨されます。
現状を把握する過程で、既に使われていない野良サーバーやシャドーIT化しているサービスの存在に気づく副次的な効果もあります。
最新の状態を維持するために、定期的な棚卸しや更新のルールを併せて決めておくのが理想です。
重要度に基づいたセキュリティリソースの配分
情報資産管理台帳が完成し重要度の分類が完了したら、具体的な対策に反映させるフェーズへと移ります。
重要度3の資産に対しては、厳密なログ管理やアクセス制限などのセキュリティ対策リソースを集中させましょう。
経営陣に対しても、重要度の高い資産を守るために予算を集中させている事実を説明しやすくなります。
戦略的なリソースの集中は、単なるコスト削減ではなく事業継続力を高めるための投資といえます。
評価基準の定期的な見直しと更新
情報資産の価値は固定的なものではなく、ビジネス環境の変化や時間の経過とともに変化していきます。
かつては最重要だったシステムも、新システムの導入やプロセスの変更によって、役割を終える場合があるためです。
少なくとも年に一度は全ての資産の重要度を再評価し、最新の状況に合わせて分類を更新し続ける必要があります。
また、新たなサイバー攻撃の手口や個人情報保護法などの法改正が行われた際にも、評価基準自体の見直しが必要となります。
一度決めたら終わりではなく、資産のライフサイクルに合わせて重要度を棚卸しする仕組みを運用に組み込みましょう。
常に最新の視点で資産を見守り続ける継続が、企業のデジタル資産を守るために重要です。
まとめ
一人情シスが限られたリソースで会社を守り抜くためには、IT資産の分類が重要です。
すべての情報を一律に守るのではなく、CIAの視点で重要度を正しく評価する点から始めましょう。
優先順位を明確に定めれば、予算や時間の使い方が最適化され重要度の高い資産に高度なセキュリティを施せるようになります。
情報資産台帳をもとにした管理で、効率的なセキュリティ運用を実現しましょう。
※この記事の画像は、Google Geminiを使用して作成しました。
コメント