リスク対策は予防/復旧の両面から～今、企業が取り組むべきセキュリティマネジメント

クラウド時代に合ったリスクマネジメントのために

　情報セキュリティマネジメントシステム（ISMS）の認証基準である国際規格ISO/IEC27001が、2013年10月に改訂された。原田氏はこの改訂のポイントについて、「“リスク所有者（リスクオーナー）”という新たな概念をはじめ、情報セキュリティのリスクについての捉え方が大きく変わっている」と指摘する。

　従来、企業における情報の管理は、情報を格納したメディア（紙やハードディスク、光ディスクなど）を「情報資産」として管理するのが一般的であった。データ所有者が資産管理者となり有体物の情報資産を管理することで、本来は無体物である情報を間接的に管理することができる。管理責任の所在も明確だ。

　しかし、この情報資産をベースとした管理では対応しきれないケースも増えてきた。その最も大きな要因として挙げられるのが、クラウド・コンピューティングの進展だ。クラウド上にデータを置く場合、データが正確にはどこにあるのかも特定しづらく、情報資産を明確に定義できない。そもそも、クラウド事業者はデータを預かるだけでデータ所有者ではなく、責任の所在も曖昧になりやすい。そこで、「リスクを運用管理することについて、アカウンタビリティ及び権限をもつ人又は主体」として“リスク所有者”が新たに定義された。

「これにより新しい規格においては、有体物である“情報資産”ではなく無体物である“情報そのもの”が管理対象になり、“資産管理者”ではなく“リスク所有者”がその管理者となる。つまり、預ける側のデータ所有者だけでなく、預かる側（クラウド事業者など）もリスク所有者として明確に責任を持つということであり、クラウド活用時の実情にマッチした情報管理及びリスクマネジメントを意識した内容となっている」（原田氏）