本日はISO27001(ISMS認証)を始めとする情報セキュリティの国際規格準拠への、
Ekranの有効性をご紹介させていただきます。
ISO27001とは？
「ISO27001（ISMS認証）」とは、「情報マネジメントシステム」とも呼ばれる情報セキュリティの国際規格の一つです。
このISO27001は年１～２回の維持審査や、３年に１回の更新審査をクリアしなければ認証が取り消されます。
取得だけでなく維持、更新し続けることで、情報セキュリティ対策に積極的な企業として顧客や利用者の信頼と評価を得られます。
 |
| 桶の理論 |
経済産業省が策定した、情報セキュリティマネジメントを円滑に構築し管理するための基準や手法をまとめたものです。
ISO27001等のセキュリティ規格に基づいたリスク管理策や計画、実施方法で構成されていますが、残念なことに事例実現のプロセスやベストプラクティスはありません。
そこで今回は情報セキュリティ管理基準の内容をもとに、Ekranが役立つポイントをご紹介させていただきます。
１．[情報セキュリティ管理基準12.4.3]
システムの実務管理者及び運用担当者の作業は、記録し、そのログを保護し、定期的にレビューする。
特権ユーザーの作業記録やデータ保護、レビューについての項目です。内部不正対策では一般ユーザー以外にも、システム管理者などシステムへの特別な権限を持つ特権ユーザーに注目します。
【Ｅｋｒａｎお役立ちポイント】
Ekranであれば、通常ユーザーのPC操作だけでなく特権ユーザーのよるサーバーの作業も記録でき、作業記録もブラウザ上の管理画面から簡単にレビューできます。
また、利用者のログイン時に「この端末は監視されています」というウィンドウを表示できるため、セキュリティ意識を喚起することで不正操作の抑制にもつながります。
Ekranは監査証跡として画像やキー入力、さらにネットミーティング等の音声も記録できますが、それらの検索・管理が簡単な点もうれしいポイントです。管理や記録閲覧もブラウザ経由ですから、特定のOSや端末に縛られることもありません。
２．[情報セキュリティ管理基準6.1.2]
相反する職務及び責任範囲は、組織の資産に対する、認可されていない若しくは意図しない変更又は不正使用の危険性を低減するために、分離する。
情報セキュリティの組織を構築する際は、共謀のおそれを考慮して設計しましょう、という項目です。誰も知らない状態でのサーバーのアクセスはNG、作業者と承認者は別でなければなりません。
ただ、業務内容やシステム設計によっては職務の分離が困難な場合もあるでしょうから、その場合は他の管理策（例えば、活動の監視、監査証跡、管理層による監督）で対応する、とも書かれています。
【Ｅｋｒａｎお役立ちポイント】
Ekranはアクセス時間の制限や特定アプリケーション起動のアラート通知、ユーザーログイン時に承認者を必要とするフローを設定できます。
また、特権ユーザーの操作画像・テキスト・音声も監査証跡として記録できますから、共謀のリスクを減らすことが可能です。
３．[情報セキュリティ管理基準8.3.1]
組織が採用した分類体系に従って、取外し可能な媒体の管理のための手順を実施する。
デバイス自体の管理、デバイスの移動記録、暗号化、バックアップ、データ複製の監視等々、ここでリスト化されている理由が簡単に想像できる項目が並びます。
【Ｅｋｒａｎお役立ちポイント】
EkranはUSBデバイスの接続記録の取得、また接続の可否を設定できます。また、監視だけでなく、禁止行動をとったユーザーを強制的にログアウトさせることも可能です。
ちなみに、管理基準には手順及び認可のレベルは文書化せよ、とあります。実際にUSBデバイスへの禁止行動を定めた場合にはユーザーに開示したほうが良いでしょう。「USBが反応しないんだけど！？」という問い合わせが山ほど飛んでくるのは避けたいですよね。
４．[情報セキュリティ管理基準12.5.1.17]
供給者による物理的又は論理的アクセスを許可している間は、供給者の活動を監視する。
【Ｅｋｒａｎお役立ちポイント】
供給者のアクセスを常時監視するにも無理がありますし、ログの分析検証や監査には専門性や時間が必要となります。
Ekranならブラウザを使い、記録された操作を動画再生できますし、ユーザーのキー入力や使用したアプリケーションも簡単に検索できます。また、以下のようにレポート化も可能です。
 | ||
| ユーザーが使用したアプリケーションをグラフ化 |
 |
| ユーザーが使用したURLをグラフ化 |
５． [情報セキュリティ管理基準16.1.6]
情報セキュリティインシデントの分析及び解決から得られた知識は、インシデントが将来起こる可能性又はその影響を低減するために用いる。
【Ｅｋｒａｎお役立ちポイント】
いかがでしたでしょうか。今回は、情報セキュリティ管理基準とEkranについてご紹介しました。
それでは、次回の記事をお楽しみに！
Ekranにご興味を持っていただけましたら、以下のリンクからお問い合わせください。
参考：Ekran社 ISO/IEC 27001コンプライアンスソリューション
https://www.ekransystem.com/en/solutions/meeting-compliance-requirements/iso-compliance-solution
