管理策タイプ

管理策を働き方で分類したもの。事故を未然に防ぐ予防、発生を見つける検知、発生後に影響を抑え再発を防ぐ是正の三つがあり、組み合わせて多層的に守る。

JIS Q 27002で各管理策に付けられた属性の一つで、管理策がインシデントの発生に対していつ働くかによって、予防、検知、是正の3種類に分けたもの。予防は発生を防ぎ、検知は発生したときに見つけ、是正は発生後に被害を抑えて元の状態に戻す。

リスクを修正するために実施する手段。JIS Q 27002では組織的管理策・人的管理策・物理的管理策・技術的管理策の四つに分類され、リスクアセスメントの結果に基づいて選定し、適用宣言書で採否を明示する。

ISMSの要求事項を規定する国際規格。組織がISMSを確立、実施、維持、継続的に改善するための要求事項を定める。日本ではJIS Q 27001として翻訳規格が発行されており、ISMS認証の基準となる。

情報セキュリティ管理策の実践規範を示す国際規格。ISO/IEC 27001の附属書Aに記載された管理策について、詳細な実施の手引きを提供する。組織的管理策、人的管理策、物理的管理策、技術的管理策の4分類で構成される。

情報セキュリティマネジメントシステムで使用される用語を定義する日本産業規格。ISO/IEC 27000の翻訳規格であり、脅威、脆弱性、リスク、管理策などISMS関連の重要用語の定義を提供する。過去問では用語の正確な定義を問う問題が繰り返し出題されている。

組織自らが、ISMSの要求事項及び組織の情報セキュリティ要求事項への適合状況を定期的に検証する活動。ISO/IEC 27001ではISMSの継続的改善のために内部監査の実施が要求されている。

ISMSを適用する組織、拠点、業務、情報資産の境界。外部委託や他システムとの接点を踏まえて定め、認証取得時には範囲の妥当性が審査される。範囲を狭く取りすぎると実効性を欠く。