「ISMS規格をわかりやすく解読する」シリーズの15回目は、「A.10 暗号」について見ていきたいと思います。

※今回利用する「ISMS規格」とは、JIS Q 27001:2014を指します。
※用語の定義は、JIS Q 27000:2014によります。

A.10.1暗号による管理策

この節では、組織の中で暗号をどのように利用していくかの方針を定めることが求められています。その方針の中では、例えば、組織内のどのような資産やシステム（パソコンや無線LANなど）に対して暗号化を施すのか、暗号化方式や暗号の種類は何を用いるのか、その暗号の管理責任者は誰か、などを明確にしておくと良いでしょう。

A.10.2 鍵管理

先ほどの方針に加え、鍵のライフサイクルにおける方針も策定すべきです。ライフサイクルとは、鍵の生成から始まり、配布、保管、更新、破棄といった一連の流れのことを指します。誰が鍵を生成し、その鍵を必要な人にどのように伝達するのか、鍵を受け取った人はその鍵をどのように保管するのか、などを定めておくと良いでしょう。