組織体の経営管理者層において認識していただくべき諸論点を掲載してまいります。サイクル等を内容として含みます。ITユーザとして気軽に読むことができる情報セキュリティに関する小冊子「情報セキュリティ読本」を発行しました。情報セキュリティポリシーについてセキュリティポリシーはなぜ必要か?組織体において、情報セキュリティに関連した意思決定をすることがあります。その組織体のセキュリティの目標を明確にすることなしには、よい意思決定をすることはできません。そのセキュリティの目標が何であるのか、「何をまもるのか」を明確にしないことには、有効にセキュリティツールを使いこなすこともできません。何をチェックすればよいのかわからないということですし、どのような制約を課するかがわからないということだからです。そこでセキュリティの目標事項を組織体の意思、すなわち「セキュリティポリシー」として取り決める必要があるのです。各組織体のセキュリティポリシーの役割・機能は、その情報セキュリティ実践を指導するために、下記の事項を表明することにあります。将来発生するセキュリティ問題への対応セキュリティポリシー立案の難しさセキュリティの目標は、下記のような相反する要素を考慮して設定しなければならない困難な作業です。セキュリティユーザが使用する個々のサービスは、それぞれに固有のセキュリティリスクをもっています。サービスによっては、そのリスクはそのサービスから享受できる便益よりも大きい場合がありますので、管理者がそれらにセキュリティ対策を施すのではなくそのサービスの停止を選択することもありえます。セキュリティ最も使い勝手がよいシステムというものは、どんなユーザにもアクセスを許容してしまい、パスワードは要求しないものでしょう。;つまりセキュリティのないものということでしょう。パスワードを要求することによって、システムは幾分面倒になりますが、安全にはなります。別デバイスでのワンタイムパスワードの生成を要求することによって、システムはさらに面倒になりますが、格段にセキュアになります。損失のリスクセキュリティについては幾種類ものコストが発生します。パスワードジェネレータのようなセキュリティハードウェアとソフトウェアを購入するコスト)、性能(例えば、暗号・復号化には時間がかかります。)、操作性(既述)などがあげられます。いくつものレベルのリスクがあります。承認されていない者が情報を読むこと)、データの喪失(例えば情報の破損や消失)、サービスが不能になる状態(例えば、データ保存スペースが満杯、計算資源の枯渇、ネットワークアクセスが不能。)、それぞれのタイプのコストは、それぞれのタイプの損失に照らして見積もらなければなりません。「セキュリティポリシー」と呼ばれる一連のセキュリティの目標・ルールの策定にあたって、各セキュリティの目標は、すべてのユーザ、運用スタッフ、それから管理者との間で意見交換される必要があります。情報システム部門のみならず、総務/広報部門や調達部門も関与する必要がある場合もあるでしょう。そのためには、組織横断的な委員会によって調整・合意する必要があるといわれています。策定された「セキュリティポリシー」が組織体内の目標・価値観として浸透するためには、トップマネジメントの支持、その表明が不可欠であるといわれています。スライド(PDF:100KB)スピーカーズノート(PDF:119KB)情報セキュリティ読本本書は、コンピュータやネットワークを使用するユーザの方を対象に、情報セキュリティについての基本概念を分かりやすく説明したものです。企業の経営者や組織の運営者の方が、経営資産の一環として、あるいは社会基盤の一部として、情報セキュリティをどのように考慮するべきかについても触れています。情報システム部門責任者のための情報セキュリティブックレット企業等の組織体で情報システム部門の責任を負っている方々が、情報セキュリティに関する予算面で板ばさみ状態にあるといわれています。情報セキュリティの観点から、対策としてやらなければならないことが多いのに対して、十分な予算が獲得できていない実情があるようです。そのような責任者は通常、多忙であり、情報セキュリティを本格的に学習する時間にも確保しにくいという声を聞きます。平成12年度、提案公募により、「情報システム部門責任者のための情報セキュリティブックレット」を作成いたしました。この電子小冊子の配布に制限はありません。マネジメントのガイドラインが作業項目になっている。13335)があるが、両者ともそれについて見直し作業が行われている。これらをその構造から解説し、最近の見直し検討状況を報告する。Reader(無償)が必要です。Readerのダウンロードページよりダウンロードできます。Japan(IPA)。