変更要約: 初版
2.3各種管理策とセキュリティ組織
管理策の4分類（技術的管理策・物理的管理策・人的管理策・組織的管理策）、職務分掌と最小権限の原則、CISO（最高情報セキュリティ責任者）とセキュリティ委員会など組織体制、教育・訓練の位置づけを学びます。
リスクアセスメントで特定・評価されたリスクに対し、実際に手を打つのが管理策です。管理策は技術・物理・人・組織という異なる性質の対策を組み合わせて初めて実効性を持ちます。また、どれだけ優れた管理策を用意しても、それを運用する体制と責任の所在が曖昧では機能しません。本節では管理策の分類と、それを支える組織体制（職務分掌・最小権限・CISO）を学びます。
2.3.1管理策の4分類
- 技術的管理策＝システムや機器で実現する対策（例：ファイアウォール・アクセス制御・暗号化・ウイルス対策ソフト）。物理的管理策＝物理的な空間・設備で実現する対策（例：入退室管理・施錠・監視カメラ・耐火金庫）。
- 人的管理策＝人の行動・意識に働きかける対策（例：秘密保持契約の締結、セキュリティ教育・訓練、規程の周知）。組織的管理策＝組織の体制・ルールで実現する対策（例：セキュリティ委員会の設置、職務分掌の明確化、インシデント対応体制の整備）。1つのリスクに対して複数の分類の管理策を組み合わせる（多層防御）ことで実効性が高まります。
2.3.2職務分掌と最小権限の原則
- 職務分掌（職務の分離）＝1人の担当者に権限や工程が集中しないよう、複数人で役割を分担させる組織的管理策（例：申請者と承認者を別の人にする、システム開発担当者と本番環境への反映担当者を分ける）。1人が全工程を担えてしまうと、不正の実行と隠蔽を1人で完結できてしまうため、これを防ぐのが目的です。
- 最小権限の原則＝利用者に対し、業務上必要な最小限の権限のみを付与する考え方。過剰な権限を与えると、その利用者のアカウントが乗っ取られた際の被害範囲が拡大し、また内部不正の機会も増えるため、必要最小限に絞ることでリスクを抑えます。人事異動・退職時には速やかに権限を見直す（削除・変更する）運用が伴って初めて実効性を持ちます。
「管理策は技術的/物理的/人的/組織的の4分類」「職務分掌＝権限や工程の集中を防ぐため複数人で分担」「最小権限の原則＝業務上必要な最小限の権限のみ付与」「CISOは経営層として全社の情報セキュリティに責任を持つ」が最頻出です。管理策の分類の取り違え（例：入退室管理を技術的管理策と誤認するが実際は物理的管理策）が典型的な誤答パターンです。
2.3.3CISOとセキュリティ組織
- CISO（Chief Information Security Officer・最高情報セキュリティ責任者）＝経営層の一員として全社の情報セキュリティに関する意思決定・責任を担う役職。現場任せではなく経営レベルでリスクの受容基準や投資判断を決定することで、事業戦略と整合したセキュリティ対策が可能になります。
- セキュリティ委員会＝CISOのもとで、各部門の代表者が参加し全社的な方針の審議・部門横断の課題調整を行う組織体（例：情報セキュリティ委員会）。特定部門だけで判断すると全社的な整合性が失われるため、部門を横断する調整の場を設けることが重要です。
- 教育・訓練＝人的管理策の中核。規程を整備しても、従業員が内容を理解し行動に反映できなければ機能しないため、定期的な研修・標的型攻撃メール訓練などを通じてセキュリティ意識を継続的に高める取り組みが不可欠です。
ある企業の情報システム部門で、開発担当者が本番環境のデータベースに直接アクセスし任意のデータを変更できてしまう、という状態が内部監査で問題視された例を考えます。この状態を放置すると、開発担当者1人の判断で不正なデータ改ざんとその痕跡の隠蔽までもが可能になってしまい、職務分掌が機能していない典型的なケースです。改善策として、まず組織的管理策として「本番環境への変更は、開発担当者とは別のリリース担当者が申請内容を確認した上で実施する」という職務分掌のルールを整備します。次に技術的管理策として、開発担当者のアカウントには本番データベースへの直接アクセス権限を付与せず、リリース担当者のみがアクセスできるよう権限設定を変更します。これは最小権限の原則の適用そのもので、開発担当者は業務上必要な開発環境へのアクセス権限のみを持てばよく、本番環境への権限は不要という判断です。加えて、リリース担当者のアカウントが不正に使われた場合に備え、物理的管理策として本番環境の操作端末を入退室管理された専用の作業室に限定し、人的管理策として担当者に対し秘密保持契約の再確認と操作ログの取り扱いに関する教育を実施します。このように1つの不備に対して技術・物理・人・組織の4分類を組み合わせることで、どれか1つの対策が破られても他の対策が補完する多層防御が成立します。そして、こうした改善策の要否や投資の優先順位は、現場の判断だけに委ねるのではなく、CISOが議長を務めるセキュリティ委員会に報告され、全社的なリスク受容基準に照らして正式に承認される、という体制を敷くことで、部門横断の一貫した意思決定が可能になります。
| 分類 | 性質 | 例 |
|---|---|---|
| 技術的管理策 | システム・機器で実現 | ファイアウォール・暗号化 |
| 物理的管理策 | 物理的な空間・設備で実現 | 入退室管理・監視カメラ |
| 人的管理策 | 人の行動・意識に働きかける | 教育・訓練・秘密保持契約 |
| 組織的管理策 | 体制・ルールで実現 | 職務分掌・セキュリティ委員会 |
ひっかけ： 「入退室管理は技術的管理策である」は誤りです。入退室管理は物理的な空間・設備で実現する物理的管理策に分類されます。また「開発担当者に本番環境への権限も広く持たせておけば、緊急時に迅速に対応できるので望ましい」も誤り＝これは最小権限の原則に反し、アカウント乗取り時の被害拡大や内部不正の機会増加を招きます。緊急対応が必要な場合は、通常時は権限を絞り必要時のみ一時的に権限を付与する運用が適切です。さらに「セキュリティに関する意思決定は現場の情報システム部門だけで完結してよい」も誤り＝CISOを含む経営層の関与が必要で、事業戦略との整合や全社的なリスク受容基準の適用が欠かせません。
2.3.4この節のまとめ
- 管理策は技術的（システム/機器）・物理的（空間/設備）・人的（行動/意識）・組織的（体制/ルール）の4分類で、組み合わせる多層防御が実効性を高める
- 職務分掌＝権限/工程の集中を防ぐため複数人で分担、最小権限の原則＝業務上必要な最小限の権限のみ付与
- CISO＝経営層として全社の情報セキュリティに責任、セキュリティ委員会＝部門横断の審議・調整、教育・訓練＝人的管理策の中核
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ある企業がオフィスの入退室を認証カードで管理し、記録を保管している。この対策は管理策の4分類のどれに該当するか。
Q2. 内部監査で、開発担当者が本番環境のデータベースへ直接アクセスし任意のデータを変更できる状態が発見された。この状態を是正するための管理策の考え方として最も適切なのはどれか。
Q3. 情報セキュリティに関する全社的な方針の審議や部門横断の課題調整を行うため、CISOのもとに各部門の代表者が参加する組織体を設置したい。最も適切なものはどれか。