あっという間に3月に突入ですね。

今回は、少し季節はずれではありますが、情報セキュリティ業界のクリスマスプレゼントについてお話しましょう。

サイバーリスクツールボックス

2015年12月17日、ISO協会は2015年に公開された最新版のISO/IEC 27000シリーズを総ざらいし、サイバー攻撃・クラウドサービスセキュリティの対応策、「サイバーリスクツールボックス」（“cyber-risk toolbox”）という概念を打ち出しました。

ISMS作業部会招集総長エドワード・ハンフリーズ（Edward Humphreys）博士は

「デジタル化が飛躍している中、規模を問わず、すべての企業は情報セキュリティを一大事として取り組むべきです。情報管理システム体制を整え、サイバーリスクをきちんと管理するのは急務であります。そのため、我々ISMS部がISO/IEC 27001のデザインを手がけました。この規定は情報リスクにおけるアセスメント、処理及び管理に適用し、世界中の情報セキュリティ管理の共通語となっています。」

と力説しました。

ISO/IEC 27017の登場

ISO/IEC 27000シリーズの下に、一番注目されたのはクラウドサービス安全管理に関連するISO/IEC 27017（12月15日発表）の登場でしょう。

あらゆる業界、企業がクラウドサービスを積極的に利用するにあたって、より多くのユーザーから安全性に対する懸念が浮上しました。クラウドサービスマーケットも国境を越え、世界中に羽を伸ばしています。

「ISO/IEC 27017を通して、企業たちはより効率的に顧客の情報セキュリティとISMS施策を管理できます。この規定はクラウドのためにデザインされた国際基準であり、今後、クラウドサービスの開発と拡大を向上させるのに役立つと思います」とISMS部主査山崎哲氏がこのように強く主張しました。

クラウドコンピューティングの利点と欠点

クラウドセキュリティ・コントロール標準化専門委員会は、長年の努力を積み重ねて今回の27017を開発しました。なぜなら、クラウドサービスの本格的な普及に伴い、それに求められるセキュリティ要求事項を明確化することの重要性が認識されつつあるためです。

クラウドコンピューティングの特徴に由来する情報セキュリティへの対応は難しいと見られています。

クラウドコンピューティングは、利用組織にITの専門知識を求めないケースが多く見られます。また、情報処理センターの資源を多数の利用組織で共有することによって、効率的で柔軟な対応サービスが実現されます。加えて、グローバルなネットワークを駆使してサービスが提供されることなど、総じて利便性の高いサービスが提供されるという特徴があります。

その反面、事業者が実施している情報セキュリティ対策やその妥当性が利用組織には把握しにくいこと、サービスが法域を超えて提供される場合に適用される法令との整合性に留意すべきこと、などの課題も存在しています。山崎氏も「ISO/IEC 27017は、この課題への対応の支援を目的として、クラウドコンピューティングにおける情報セキュリティマネジメントの指針を提示する国際基準となっています。」と明言しました。

サイバーセキュリティに対する脅威が増える一方の現代社会、適度な組織運営と情報管理の施策が企業の命脈となります。クラウドサービスは情報運用と管理の重要ツールとして、更なる活躍が期待できるでしょう。それに伴ってクラウド情報の安全も一大事となりつつあります。各企業もISMS27000ファミリーの新基準に従って、よりよい価値創出へ、新たな一歩を踏み出しましょう。

正に
プレゼントタイムです！

LRMではISO27017の認証取得支援コンサルティングをおこなっています。「ISO27017についてもっと詳しく知りたい！」「認証取得までにどれくらい費用がかかるの？」などなど、お気軽にお問合せ下さい。