監修・NPO日本ネットワークセキュリティ協会
セキュリティ監査WG
文・吉田裕美（ジェイエムシーCRS本部販売グループ サブマネージャー）
今回は、「情報セキュリティ運営委員会」について解説します。情報セキュリティ運営委員会とは、情報セキュリティ対策を組織的かつ効果的に管理することを目的とした庁内（社内）組織で、「情報セキュリティ管理基準」（経済産業省）において設置するよう求められているものです（同基準コントロール2．1「情報セキュリティ基盤」）。
■情報セキュリティ運営委員会の結成
情報セキュリティ運営委員会は、CIO（最高情報責任者）あるいはCISO（Chief information Security Officer、情報セキュリティ管理最高責任者）を中心とし た、組織横断型の委員会です。ちなみに、CISOとは、トップマネジメントの組織理念を反映し、セキュリティを策定する責任者です。会社に蓄えられた情報を管理して、情報資産を運用します。
情報セキュリティ対策は、一部の部署や人で行うものではなく、組織全体で取り組むべき課題であることは、本連載の中でも述べてきました。
情報セキュリティ運営委員会は、組織全体のリスクを把握し、セキュリティ対策が決められた通りに行われているかを確認し、問題が起こった時（セキュリティ事故や、新しい脅威、新しい法令等）に速やかに対応し、決断するために存在します。
情報セキュリティ対策は、バランスが必要です。一部の対策のみに過剰な投資をしても、あまり意味がありません。「わが組織のセキュリティレベルは何点くらいでしょうか」ということを尋ねられることがあります。そうした時には「あなたの組織で最も弱い部分が点数です」とお答えしています。
情報セキュリティ運営委員会は、常に組織のセキュリティレベルを把握し、目的に向かって組織全体を引っ張ってゆく必要があります。
総務省発行の「地方公共団体における情報セキュリティポリシーに関するガイドライン」では、策定のための、組織・体制について以下のように述べています。
|
ほとんどの組織が、セキュリティポリシー策定時の「情報セキュリティ委員会」がそのまま、初期の「運営委員会」となりますので、本題について考える場合は、策定時から、実際の運用、確認、見直しまで考え、組織を作ることが望ましいでしょう。
ポイントは、狭い範囲ではなく、横断的な組織を作ることであり、情報システム部門に任せきりにしてはいけません。また、情報セキュリティ運営委員会の存在と、その目的、各役割は、職員皆が掌握していなければ意味がありません。参考例として情報セキュリティ運営委員会の組織構成例を以下に示してみました。
| ■情報セキュリティ運営委員会の体制（参考例） |
 |
 民間企業の場合などは、業態によって、運営委員会の作り方が異なり、ある意味この組織の体制作りそのものが、企業の情報セキュリティに対する姿勢を表しているといえる。 |
■責任と権限の明確化 ～情報セキュリティ運営委員会の責任分担～
「セキュリティ管理基準」2.1.2.1には、「運営委員会は適切な責任分担及び十分な資源配分によって、セキュリティを促進すること」とあります。これは、どうのようなことを言っているのでしょう。まず「適切な責任分担」とは何でしょうか。これは、(1)役職（役割）に対する責任と権限の明確化 (2)各情報資産ごとの管理責任者の明確化の二つが挙げられます。
また、「十分な資源配分」といっても、どこまでも終わりのないセキュリティ対策において「何をもって十分と言うのか」と首をかしげる方もいるかもしれません。
この「十分な」という言葉の意味は、人・物・金を過剰投資するのではなく、基本方針にのっとり、計画どおり行われているか、促しているか、また目的・目標に向かっているかなど、委員会が機能するための資源を確保することを言っています。ですから、各組織によって、具体的資源の配分には、差が出ることになりますし、状況によって変化もすることもあります。
では次に、先ほど参考例にあげた情報セキュリティ運営委員会の体制図をもとに、責任分担の例を記載したいと思います。
|
なお、「情報セキュリティ管理基準」（経済産業省）では、運営委員会の役割として、セキュリティの促進（2.1.2.1）、重大な脅威へさらされることへの変化の監視（2.1.2.3）、事件事故の見直しおよび監視（2.1.2.4）、情報セキュリティ強化の発議（2.1.2.5）など記されていますが、これらを監査に備え実装するに当たって具体的にイメージしにくいかもしれません。その場合は、ISMS（情報セキュリティマネジメントシステム）認証基準Ver.2.0のマネジメントレビュー部分（このうちのレビューへのインプット／レビューからのアウトプット）を参考にするとよいでしょう。
|
以上、情報セキュリティ運営委員会について、イメージしていただけましたでしょうか。委員会の存在は、情報セキュリティの向上に関して、大きく影響を及ぼすと筆者は考えております。ご存知のとおり、情報セキュリティ対策においては、継続的に、確認・見直し・実行する仕組みが必要ですから、全体を把握すること、現状の問題点を把握することがまずは必要です。そしてまた、変化する環境の中、目的にむかって正しく進んでいかなくてはなりません。そのためには、組織全体を見渡せる横断的組織が必要になってくるわけです。
高価な対策製品を導入しても、大掛かりな認証のしくみを取り入れたとしても、それらが本当に効果的に使用されているのか、効果をもたらしているのか組織として把握されていなければ、やがて「ひずみ」が発生し、そこが新たなセキュリティホールになる可能性もあります。
ある組織では、職員が協力し合い、詳細リスク分析を経て、ポリシーを作成したものの、セキュリティ運営委員会が机上のものになってしまったため、ポリシーに基づく承認や監視、見直しができないということが起こったそうです。この委員会作り、つまりセキュリティ体制を維持していくには、やはり、トッブの意識がいかに重要かということを物語っています。
セキュリティ監査の前に、職員に尋ねてみてはいかがでしょうか。「この組織の情報セキュリティ管理最高責任者って誰だか知っていますか？」と……。
|
|
