開閉ボタン
ユーザーメニュー
ユーザーメニューコンテンツ
ログイン

  • 会員限定
  • 2008/09/01

【連載】情報セキュリティの投資対効果を追求する(9)情報セキュリティにおけるITSMSの活用

これまで、情報セキュリティの分野において投資対効果を論じることはタブーとされてきた。その結果として管理策を導入していながら事故を起こしてしまうケースが続発しているのは、ご存じのとおりだろう。ここにきて、情報セキュリティの分野において“有効性”というキーワードが注目されるようになってきた。何のための情報セキュリティなのか、ローブライトコンサルティング 代表取締役 加藤道明氏が論じる。第9回は、情報セキュリティにおけるITSMSの活用について考察する。

加藤道明

加藤道明

○シニアセキュリティコンサルタント ○JIPDEC ISMS主任審査員(ISJ-B00023) ○財団法人日本科学技術連盟所属MS審査員(ISMS、ITSMS、BCMS) ○平成15年度保健医療福祉分野ISMS制度WGメンバー ○電気情報通信学会員  金沢工業大学大学院(情報工学専攻)卒業、1986年関西日本電気入社、日本電気、住商情報システムのセキュリティ・ソリューション課長を経て、2004年9月独立開業、現在に至る。  基幹業務システム(主に販売管理と生産管理)と情報通信およびセキュリティに精通。1997年、金沢市と米国サンフランシスコのオフィス間にVPN(仮想閉域網)を構築。以来、ネットワークセキュリティ、情報セキュリティマネジメント、個人情報保護に関して、コンサルティングや教育およびシステム設計で数多くの実績を持つ。また、行政系介護支援事業における個人情報保護コンサルティングおよび同事業情報セキュリティ委員会事務局などの経験もあり。ISMS/BS7799、プライバシーマーク認証取得および運用、また、システムセキュリティ設計の実績豊富。

ITSMSとは?

 ITSMSとは、組織が提供するITサービスのマネジメントを効率的、効果的に運営管理するための仕組みである。日本国内においても2007年、同仕様がJIS Q 20000-1:2007として規格化された。ITSMS導入のメリットには、次のようなものがある。

・ITサービス品質の監視と改善
・ITサービス提供能力のPR
・ベンチマーキング
・認証取得

 なお、この場合の組織とは、サービスを提供する事業者や社内のシステム部門を指す。同マネジメントの運用管理手順のベストプラクティスであるITIL(IT Infrastructure Library)などは、社内のシステム部門がモデルになっている。

損害賠償が珍しいことではなくなった時代にマッチしている

 2007年4月に本格運用が開始されたITSMS適合性評価制度による認定取得事業者は、2008年5月2日現在43組織となっている。認定事業者数はまだまだ少ないが、確実にその数を伸ばしつつある。筆者自身の審査経験では、QMS(品質)が目標を自主的に設定するのに対し、ITSMSでは顧客との合意に基づいたサービス品質を管理するといった点が、損害賠償が珍しいことではなくなった時代にマッチしているように感じられる。

改善のための「きっかけ」を得て改善を行っていく

 ITSMSでは、大きく分けて、対顧客、提供するサービスの関連プロセス、対供給者の3つの視点で、それぞれ次の活動を行うことになる。

【1】対顧客
組織が提供するサービスレベルを顧客と合意し、合意に基づいたサービス品質を管理し、その状況を顧客に報告する。
【2】提供するサービスの関連プロセス
組織が顧客と合意したサービスレベルを含む各種要求を満たすよう、提供するサービスの関連プロセスを統制する。
【3】対供給者
組織が供給者(委託先等)とサービスレベル(顧客と合意したサービスレベルとの整合が条件)を合意し、監視する。

 提供するサービスの関連プロセスには、13プロセスがあり、組織は顧客との合意に基づき測定可能な数値目標を設定し、測定することによって、改善のための「きっかけ」を得て、改善を行っていく

6 サービス提供プロセス [1] サービスレベル管理
[2] サービスの報告
[3] サービス継続および可用性の管理
[4] サービスの予算業務および会計業務
[5] 容量/能力管理
[6] 情報セキュリティ管理
7 関係プロセス [7] 顧客関係管理
[8] 供給者管理
8 解決プロセス [9] インシデント管理
[10] 問題管理
9 統合的制御プロセス [11] 構成管理
[12] 変更管理
10 リリースプロセス [13] リリース管理


顧客との合意に基づいたセキュリティ目標を管理する

 JIS Q 20000-1では、6 サービス提供プロセスの一環として、情報セキュリティ管理を要求している。この情報セキュリティ管理とは、情報セキュリティマネジメントシステム(ISMS)のサブセットであるJIS Q 27002(情報セキュリティマネジメントの実践のための規範)を指している。つまり、ITSMSでもISMSを導入することになる。

 では、ITSMSにおける情報セキュリティ管理とISMSにおける情報セキュリティ管理では何が違うのであろうか。決定的な違いがある。違いは顧客との合意に基づいた目標を管理するモデルと自主的に設定した目標を管理するモデルとの違いである。ISMSでも利害関係者からの要求に対し運用管理の状況を報告するといった考え方は記載されている。しかし、要求事項とは見なされていない。

 情報セキュリティ分野で、昨今、問題となっているテーマの1つに「行き過ぎた対策」というものがある。筆者自身、この問題は日本社会において、どこまでやるかを自主的に判断させた結果ではないかと考えている。ISMSの要求事項には133の管理策が選択枝として用意されている。本来、機密性、完全性、可用性の喪失の結果を考慮したリスクアセスメントの結果として選択することが要求されているのだが、実際、認定を取得している多くの事業者が、業種業態問わず、そのほとんどを選択している。リスクアセスメントの妥当性に疑問を感じざるを得ない。日本社会における情報セキュリティは、自主的に設定した目標を管理するモデルではなく、むしろ、顧客との合意に基づいた目標を管理するモデル、つまり、ITSMSの枠組みの方がなじむのかもしれない。

《次回へつづく》

《撮影:郡川正次》

この続きは会員限定です

ここから先は「ビジネス+IT プレミアム会員」に登録の方(登録は無料)のみ、ご利用いただけます。

今すぐビジネス+IT会員にご登録ください。

すべて無料!ビジネスやITに役立つメリット満載!

  • 1

    インタビューから事例記事まで、ここでしか読めない1万本超の記事が無料で閲覧可能

  • 2

    導入事例資料や技術資料、デモ動画などを無料でダウンロード・閲覧可能

  • 3

    年間1,000本以上、会員限定のスペシャルセミナーにご招待

  • 4

    ビジネス+IT編集部が必読記事を、メールマガジンでお知らせ!

セキュリティ戦略 ジャンルのセミナー

セキュリティ戦略 ジャンルのトピックス

セキュリティ戦略 ジャンルのIT導入支援情報

関連リンク

PR

ビジネス+IT 会員登録で、会員限定コンテンツやメルマガを購読可能、スペシャルセミナーにもご招待!