ISMS改訂は「見えないリスクの可視化」がカギ 絶対に外せない“セキュリティ脅威の検知”とは
リスク可視化のために押さえておくべき4つのポイント

オンプレミス環境下でのソフトウェアはもちろん、クラウドサービスなどが増加することで、外部からのサイバー攻撃や権限設定の不備による内部からの情報持ち出しなど、セキュリティリスクが多様化しています。その結果として想定外の事態が発生する可能性が高まっており、予防だけでなく発生することを前提として、いかに迅速に検知して適切な対応ができるかが重要です。2022年度のISMS改訂においても、「8.16 監視活動」が新規管理策として追加されており、検知の重要性の高まりが伺えます。今回は「可視化」をテーマに、何をどこまで、どのように監視し、検知できる体制を構築しておくべきか解説します。
情報セキュリティにおける「可視化」の重要性
本連載の第1回でも紹介しましたが、今回のISMS規格改訂では「検知」に分類される管理策の割合が増加しており、自分たちが現状どのようなリスクにさらされているのか「可視化」し、認識することの比重が高まっています。
では、なぜ今、可視化が情報セキュリティの分野で重要とされているのでしょうか。情報セキュリティに関心がある方であれば毎年注目するであろう、IPA(情報処理推進機構)が発表する『情報セキュリティ10大脅威』を追っていくと一目瞭然です。
たとえば、ランサムウェアに関する脅威。2015年はランク外でしたが、2016年には個人部門で2位、組織部門で7位として登場しており、2017年には個人・組織部門ともに2位となりました。そして2021年以降は、組織部門で1位の脅威であり続けています。
このように近年では、突然重大な脅威が発生・注目され、あっという間に被害が拡大していくケースが一般的になっています。そして、これがランサムウェアに限らないものであることはご存じの通りかと思います。

ただし、新たな脅威が登場する一方で、依然として同じような事件・事故が繰り返されていることも事実です。これは、リスクが過小評価されてしまっており、適切なリスクのインパクトを可視化できていないケースが多いためであると考えられます。不正を企てる者にとっては、見過ごされている“既知のリスク”要因を突くことが効率的であるため、決して新しいリスク要因にのみ注目すれば問題ないわけではないことも理解しておきましょう。
また、現代では不正アクセスに必要な情報がインターネット上で販売されており、不正アクセスに必要なツールも容易に入手することができてしまいます。つまり、世界中の誰もがその気になれば攻撃者になれてしまう時代でもあるということです。
このように、誰もが攻撃者になり得る状態であり、既知なものから未知なものまで追いきれないほどのリスクが存在する現代では、予防に100%の比重を置くのではなく、想定外の事象が発生してもすぐに検知し、迅速な対応を行えるようにしておくこと。これこそが現実的かつ重要な考え方だとされています。
この記事は参考になりましたか?
- 約10年振りの改訂「ISMS 2022年版」の要諦──“インシデント前提思考”の情報セキュリティマネジメントとは連載記事一覧
-
- ISMS改訂で追加された「情報削除」の要点とは 削除タイミングを失って情報漏えいする大手企...
- ISMS改訂は「見えないリスクの可視化」がカギ 絶対に外せない“セキュリティ脅威の検知”と...
- 明日クラウドサービスが停止しても慌てないための「5つの対策」 ISMS規格改訂で考慮事項に
- この記事の著者
-
村田 一彦(ムラタ カズヒコ)
情報セキュリティコンサルティング事業やB2B向けSaaS事業を展開するLRM株式会社のコンサルティング事業部副部長。情報セキュリティコンサルティングに20年以上携わっており、ISMS/ISO27001、ISMSクラウドセキュリティ/ISO27017、プライバシーマークなどの認証取得やQMS/ISO9...
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか?
この記事をシェア