社内でセキュリティ対応するときに参考になるISO/IEC 27001とCIS Controls
社内でセキュリティ対応を任されると、何から手をつけるか、なぜそれが必要かで悩むことが多い。自分の感覚だけで対策を決めると抜け漏れが出るし、関係者からも「それって本当に必要？」と言われやすい。
こういうときに参考になるのが、既存のセキュリティ基準である。代表的なものとして、ISO/IEC 27001（以下ISO 27001）とCIS Controlsがある。
ISO 27001
ISO 27001は、情報セキュリティマネジメントシステム（ISMS）の国際規格である。日本ではJIS Q 27001として規格化されていて、いわゆる「ISMS認証」の基準になっている。
個別の技術対策よりも、組織としてセキュリティをどう管理するかに重きを置いている。
- リスクを洗い出して評価し、対応方針を決める
- 方針やルールを文書にして運用し、継続的に改善する
- 附属書Aに管理策が93個あり、組織・人・物理・技術の4テーマに分かれている
アクセス権の管理、サプライヤーとの関係、インシデント管理など、技術以外の観点も含まれている。対策の抜け漏れを確認するチェックリストとして使える。ただし全部をやる必要はなく、自社に必要かを判断する材料として使う。実際、ISMSでもリスク評価の結果をもとに管理策を採用するかどうかを決める。
CIS Controls
CIS Controlsは、米国の非営利団体CIS（Center for Internet Security）が公開しているセキュリティ対策の一覧である。現行のv8.1では18個のコントロールがあり、それぞれの下に具体的な対策（Safeguard）が並んでいる。
実際の攻撃に効く対策を、優先度つきで示しているのが特徴である。
- ハードウェア資産の棚卸し、ソフトウェアの棚卸し、データ保護、安全な設定、アカウント管理など、やることが具体的
- 組織のリスクや使えるリソースに応じて、IG1〜IG3の実装グループに分かれている
- IG1は「essential cyber hygiene（最低限の衛生管理）」とされていて、まずここから始めることが推奨されている
2つをどう組み合わせるか
| 観点 | ISO 27001 | CIS Controls |
|---|---|---|
| 性質 | マネジメントの国際規格 | 技術対策のベストプラクティス集 |
| 粒度 | 方針・プロセス | 具体的な作業 |
| 向いている用途 | 全体の抜け漏れ確認、ルール整備 | 対策の優先順位づけ |
| 認証 | あり（ISMS認証） | なし |
ISO 27001で全体を見渡し、CIS Controlsで何から手をつけるかを決める、という使い方になる。
基準に沿って対応するメリット
一番のメリットは、関係者に納得してもらいやすいことである。
セキュリティ対策は、開発チームの手間を増やしたり、利便性を下げたりすることが多い。「自分がやったほうがいいと思うから」という理由だと、反発されたり後回しにされたりしやすい。
基準を示せば、個人の意見ではなく業界で共有されている考え方として受け止めてもらいやすい。たとえば、使われていないアカウントの無効化を各チームに依頼するとき、「CIS ControlsのSafeguard 5.3で、IG1（最低限の対策）に含まれている」と添えれば、なぜ今やるのかを説明しやすい。「ISO 27001の管理策にも挙がっている」と言える対策も同じである。
ほかにも次のようなメリットがある。
- 自分の知識や経験に頼らずに済み、抜け漏れが減る
- 現状どこまでできているかを、基準と照らして示せる
- 将来ISMS認証を取ることになったときにも活かせる
まとめ
- 社内でセキュリティ対応を進めるときは、ISO 27001とCIS Controlsが参考になる
- 基準に沿っていると説明できれば、関係者に納得してもらいやすい
参考文献
ISO/IEC 27001:2022 - Information security management systems