令和５年度中⼩企業サイバー
セキュリティ対策継続支援事業

13-2-4. ISMS：6. 計画

「6. 計画」は、PDCAサイクルの「P（計画）」に位置しており、リスクマネジメントの確立、情報セキュリティにおけるリスクアセスメント、リスク対応、情報セキュリティ目的の管理に関する要求事項を示しています。

6.1 リスク及び機会に対処する活動

「リスク及び機会に対処する活動」とは、「ISMSの意図した成果を達成する」「ISMSの望ましくない影響を防止・低減する」「継続的改善を達成する」の3つを実現するために、妨げとなるような機会やリスクを発見し、対処することです。
平たく言えば、情報セキュリティ上のリスクに対して、適切な対策を講じることで、情報セキュリティを確保するための活動になります。
具体的には「リスクアセスメントの実施」「リスク対応策の作成と実施」「リスク対応策の有効性評価」「継続的改善」といった活動が含まれます。
リスクアセスメントは、組織や企業の資産に対するリスクの洗い出しや分析、評価を行い、リスク対応の優先順位づけをしていくプロセスになります。リスクアセスメントの実施により、リスクを評価し、事前にリスクを把握することで必要な投資額を含め、企業が適切な対策を検討することが可能になります。

本項では、資産目録（情報資産管理台帳）とリスクアセスメント結果報告書を作成します。2つのドキュメントは、ISO/IEC 27001:2022の管理策「5.9 情報およびその他の関連資産の目録」に対応します。

資産目録（情報資産管理台帳）の作成方法は「 11-2. リスクマネジメント：リスクアセスメント」で説明しました。作成した資産目録（情報資産管理台帳）から、リスクアセスメントの結果をまとめた「リスクアセスメント結果報告書」について説明します。

リスク特定における、リスクアセスメント結果報告書の作成方法（例）

以下の手順で、リスク一覧表となるリスクアセスメント結果報告書を作成します。

1.資産目録（情報資産管理台帳）から、「情報セキュリティリスクアセスメントを実施するための基準」で決定した基準をもとに、重要資産を選択します。例では、機密性、完全性、可用性の項目の評価値が1つでも3となった資産を重要資産としています。選択した重要資産を「リスクアセスメント結果報告書」に記載し、リスク一覧表を作成します。

リスクアセスメント結果報告書には、以下の内容を記載します。

• 資産目録のNo
  作成した資産目録に対応する項番を記載します。

  ※リスクによっては資産目録のNoは複数になることもあります。

• リスク源
  想定される脅威を記載します。
  （例）モバイル機器の利用ルールが十分に整備されていない　など
• 影響領域
  脅威が発生した場合の影響範囲を記載します。
  （例）外部、全社　など
• 事象
  発生する可能性のある事象を記載します。
  （例）持ち出し中に重要な情報を紛失・盗難　(機密性の喪失)　など
• 原因
  事象が発生する原因を記載します。
  （例）【事象】に対し【リスク源】である、【リスク源】ため【事象】が発生　など
• 起こり得る結果
  事象が発生した場合に起きる結果を記載します。
  （例）機密情報などが漏えいし顧客に影響、信用喪失　など

リスク分析・リスク評価における、リスクアセスメント結果報告書の作成方法（例）

具体的には、以下の内容を記載します。

• 重要度
  「機密性」「完全性」「可用性」いずれかの最大値で判断します。
  （例）
  機密性：1、完全性：2、可用性：3 →　重要度：3
  機密性：2、完全性：1、可用性：1 →　重要度：2
• 被害発生可能性
  脅威の起こりやすさと脆弱性のつけ込みやすさから換算表に当てはめて算出します。

起こりやすさ：2、つけ込みやすさ：1 → 被害発生可能性：1
起こりやすさ：3、つけ込みやすさ：3 → 被害発生可能性：3

• リスクレベル
  重要度と被害発生可能性から算出します。
  （例）
  重要度：3、被害発生可能性：1 →　リスクレベル：3
  重要度：2、被害発生可能性：3 →　リスクレベル：6
• 優先順位
  リスク受容基準をもとに、リスクレベルから優先順位づけを行います。

リスクアセスメントにおいて、自社の情報セキュリティリスクを洗い出します。リスク対応では、洗い出したそれぞれのリスクに対してどう対策するのか、ISMSの管理策を実施の有無を含めて検討します。リスク対応は以下のプロセスになります。

リスク対応のプロセス

本項では、リスクアセスメント結果報告書、適用宣言書、リスク対応計画とISMS有効性評価表を作成します。リスクアセスメント結果報告書は、リスクアセスメントで作成したドキュメントにリスク対応と二次評価を記載します。

1.適切な情報セキュリティリスク対応の選択肢の選定

リスク対応には、以下の4つがあります。

2.選択肢の実施に必要なすべての管理策の決定

リスク対応を実施することが決まった場合は、管理策を決める必要があります。管理策は、リスクの回避、低減、移転、受容（保有）の中から選択したリスク対応に必要な管理策をすべて決定します。

リスク対応における、リスクアセスメント結果報告書の作成方法（例）

リスク対応した結果を、リスクアセスメント結果報告書に記載します。

具体的には、以下の内容を記載します。

• 保有、低減、回避、移転
  リスク対応で決定した対応について「●」を記載します。
• 管理策
  リスク対応で決定した内容を記載します。
  （例）モバイル機器の利用ルールを整備・強化　など

3.決定した管理策とISO/IEC 27001:2022附属書A の管理策との比較

附属書Aは、ISO/IEC 27001で記載されている要求事項をもとに情報セキュリティ上のリスクを低減するための目的と、その目的を達成するための管理策で構成されています。
ISO/IEC 27001:2022では、合計93種の管理策が、以下の4つのカテゴリに分類されています。

• 組織的管理策
• 人的管理策
• 物理的管理策
• 技術的管理策

リスク対応で決定した管理策を附属書Aと比較し、必要な管理策を見落としていないか確認します。附属書Aの管理策のリストは包括的なものではないので、必要に応じてリストにない管理策を採用してもかまいません。

4.適用宣言書の作成

「適用宣言書」は、ISMS認証を取得するすべての組織に作成が義務づけられています。認証を取得しない組織では、 必須ではありませんが、情報セキュリティに対する取組みを明確にするために「適用宣言書」を作成することが望ましいとされています。
適用宣言書は以下の内容を含むように作成します。

• 必要な管理策
• それらの管理策を含めた理由
• それらの管理策を実施しているか否か
• 附属書Aに規定する管理策を除外した理由

適用宣言書には、以下の内容を含めます。

• 管理目的および管理策
  ISO/IEC 27001の附属書Aの管理策を記載します。
  （例）5.1 情報セキュリティのための方針群　など
• 適用
  適用または適用除外を記載します。
  （例）○：適用、×：適用除外
• 実施・未実施
  実施したか否かを記載します。
  （例）○：実施、未：未実施、ー：適用除外
• 管理策を含めた理由または管理策を除外した理由
  管理策を行う場合も理由を記載します。
  （例）情報セキュリティのための経営層の方向性および支持を、事業上の要求事項、関連する法令および規則に従って規定するため　など
• 規程・手順書
  管理策が含まれている規程または手順書を記載します。
  （例）情報セキュリティ手順書5.1.1、A-02 情報セキュリティ方針　など

5.情報セキュリティリスク対応計画

「リスク対応計画」は、それぞれのリスクに対して、どのような管理策を、誰が、いつまでに、どのように実施するのかを表にまとめたものになります。表には、対策の実績やステータスを記載する欄もありますが、これらの欄については「8. 運用」で説明します。

リスク対応計画の作成方法（例）

リスクアセスメント結果報告書から、リスク対応を行う管理策をすべて記載し、それぞれの具体的な内容や、担当者などを記載します。リスク対応を行った場合、実績やリスク対応のステータスを記載する必要があります。

※実績とステータスは、「8.運用」で記載します。

リスク対応計画では、以下の内容を記載します。

• 管理策
  リスクアセスメント結果報告書の管理策を記載します。
  （例）モバイル機器の利用ルールを整備・強化　など
• タスク
  管理策を実施する上で、具体的な業務を記載します。
  （例）ルール検討　関係者に周知
• 担当
  管理策の担当者を記載します。
  （例）委員長
• 予定
  リスク対応予定の開始日と終了日を記載します。
  （例）開始：2023/08/10 　終了：2023/09/29

二次評価

「二次評価」とは、リスクに対する管理策の有効性評価のために行うものです。
リスク対応を実施した結果は、二次評価としてリスクアセスメント結果報告書に記載します。リスク分析で使用した値を用いて、リスク対応を実施した結果をもとに、情報資産に対する再評価を実施します。

リスク対応における、リスクアセスメント結果報告書の作成方法（例）

具体的には、以下の内容を記載します。

• 重要度（係数）
  「機密性」「完全性」「可用性」いずれかの最大値で判断します。
  （例）
  機密性：1、完全性：2、可用性：3 →　重要度：3
  機密性：2、完全性：1、可用性：1 →　重要度：2
• 被害発生可能性
  脅威の起こりやすさと脆弱性のつけ込みやすさから換算表に当てはめて算出します。
  （例）
  起こりやすさ：2、つけ込みやすさ：1 → 被害発生可能性：1
  起こりやすさ：3、つけ込みやすさ：3 → 被害発生可能性：3
• リスクレベル
  重要度と被害発生可能性から算出します。
  （例）
  重要度：3、被害発生可能性：1 →　リスクレベル：3
  重要度：2、被害発生可能性：3 →　リスクレベル：6

6.リスク所有者による承認/7.残留している情報セキュリティリスクの受容

リスク対応計画と残留リスク（管理策の適用後に）は、リスク特定で決めたリスク所有者の承認が必要になります。リスク所有者が承認する際は、記録をする必要があるため、ワークフローやチェック欄などを用います。

6.2 情報セキュリティ目的及びそれを達成するための計画策定

情報セキュリティ目的の基本要件として以下の要件を満たす必要があります。

情報セキュリティ目的と、それを達成するための計画をISMS有効性評価表に記載します。
「8. 運用」で計画を実施し、「9. パフォーマンス評価」で評価を行います。評価結果の記載方法は、「9. パフォーマンス評価」で説明します。

ISMS有効性評価表の作成方法（例）

ISMS有効性評価表では、以下の内容を記載します。

• 情報セキュリティ目的
  適用範囲（組織全体、各部署ごと）でのセキュリティ目的を記載します。
  （例）重大なセキュリティインシデントを発生させない、
  マルウェア感染およびサイバー攻撃によるシステム停止の防止　など
• 評価指標
  測定可能な値を記載します。
  （例）マルウェアの感染の有無、システム停止の有無　など
• 実施事項
  情報セキュリティ目的を達成するための実施内容を記載します。
  （例）ウイルス対策ソフトのインストール、標的型メール訓練の実施　など
• 必要な資源
  実施事項のために必要な資源を記載します。
  （例）ウイルス対策ソフト、標的型メール訓練　など
• 責任者
  計画の責任者を記載します。
  （例）部長各自　など
• 達成期限
  計画の期限を記載します。
  （例）年度末、2023年9月　など
• 評価方法
  具体的な評価方法を記載します。
  （例）年度末に発生したセキュリティインシデントをカウントし、評価する　など