|
セキュリティポリシーの見直し 〜事故の教訓をセキュリティポリシーに活かす〜
セキュリティ対策の難しさには、「これでよし」という絶対的な基準がないところにあります。一般的に、企業（組織）は自らのリスクアセスメント結果と事業とのバランスで必要かつ受容可能なセキュリティ対策を実施しています。しかし、「これでよし」となるわけではありません。したがって、PDCAモデルに基づき、セキュリティポリシーを企業（組織）に定着させるとともに、継続的に見直し・改善していくことが大変重要で、これが万全を期することにつながります。
最近、ISMSやPマークを取得したけれど、運用とりわけ"見直し"とか"継続的に改善する"ということがなかなか難しいという話をよく耳にします。多くの日本企業（組織）は、取得のためのプログラムの構築には積極的に取り組むが、一度構築したものを見直すということについては不得手なように思います。そこで、今回は、セキュリティポリシーの効率的かつ効果的な見直しの方法について考えてみましょう。
１．セキュリティポリシーの見直しポイント
セキュリティポリシーは、その定着化と並行して、定期的かつ必要に応じて見直しをしなければなりません。セキュリティポリシーの見直しポイントは、下の表のように整理することができます。
２．セキュリティポリシーの日常点検
セキュリティ対策にこれで万全ということはありません。しかし、他社で起きた事故を自社で繰り返す（上記�ァ砲海箸世韻枠鬚韻燭い發里任后�そのために、他社で起きたセキュリティ事件・事故を手本として、発生時には自社で同じことが起きないか、速やかにチェックを行い、的確な対策を打つことが大切です。
具体的なチェックの仕方としては、毎日のように新聞、インターネット等で掲載されているさまざまなセキュリティ事件・事故の記事を元に、次の事項などを確認、チェックすると良いでしょう。
�ー�社のセキュリティポリシーにそれを防ぐ管理策が規定されているか
�△修隆浜�策がきちんと遵守されているかどうか
�Ｋ�が一、同種の事件・事故が自社で起きた場合のインシデント対応は明確か
例えば、「2007/02/02(金) 社員の個人情報約400などを含むパソコン紛失」（ http://jtrustc.co.jp/html/pnews/readnews.php?logno=200702）に対しては、次の点検を行うとよいでしょう。
�．痢璽�PCを社外に持ち出すことを許可しているか
�▲痢璽�PCに機密情報（個人情報も含む）が保存されているか
��ノートPCを社外に持ち出すときの取扱いについて規定されているか
�ぅ痢璽�PCの認証及びアクセス制御機構は強固か
�サ〔�情報は、個別のパスワードや暗号化などしているか
��自社で同じ事故が起きた場合の対応はどうなっているか
３．セキュリティポリシー見直し手順
日常の点検結果で、不十分な点が判明すれば、次の手順で速やかに見直し、改善を行い、社内に周知徹底することが必要です。
�仝�直し要因の理解
�▲螢好�再評価
�１洞組楼呂瞭団蠅犯娠�
・セキュリティポリシーの改定内容
・セキュリティポリシー定着化計画への反映
・セキュリティ教育への反映
・緊急時対応計画への反映
・セキュリティ監査への反映
�じ�直し後のアクション
・キュリティポリシーの周知
・影響度に応じて緊急時対応計画の事前訓練
�ゾ綉�活動の記録