タグ別アーカイブ: 勉強会

第10回CSA勉強会「ISO/IEC27001:2013とISO/IEC27017の重要なポイントの解説」

2015年3月27日
日本クラウドセキュリティアライアンス 理事
諸角 昌宏

第10回CSA勉強会は、工学院大学の山﨑哲氏に、ISMSの基準となるISO/IEC27001:2013の改訂における重要ポイントと、クラウドサービス事業に大きな影響を与えるクラウドセキュリティの管理策体系であるISO/IEC27017(今年秋に正式発行予定)の要点について解説していただきました。
27001については、JIS規格が出されたのが2014年3月であり約1年を経過しているにも関わらず、2013についてほとんど勉強していませんでした。したがって、今回の勉強会は私にとって非常に有意義なものとなりました。また、27017に関しては、今年の10月に規格化されるようで、また、クラウドセキュリティに関わっているものとして、こちらも有意義な最新情報をいただくことができました。
非常に中身の濃い、ボリュームのある内容でしたので、ここでは概要と印象に残ったことについて書いていきます。かなり私見も入っていますし、間違い、勘違い、認識不足もあると思います。ぜひ、このブログにコメントを書き込んでいただいて、いろいろと教えていただければと思います。よろしくお願いします。

  1. ISO/IEC27001:2013の改訂のポイント
    27001の改訂内容として、主に以下の3点があげられます。

①      ISMSの意義として、経営陣の目的・目標を要求事項とし、経営陣の方針から管理策への展開が規定されています。また、CISO(トップマネージメント)の設置も規定され、情報セキュリティを統括することが求められています。
情報セキュリティ管理は、経営陣の支持のもとに進めるというのが大原則で、これにより経営とセキュリティ管理の一体化が図られることが必要ですが、なかなか実践できている企業は少ないと思われます。セキュリティ管理プロセスにおいても、まず最初に、acknowledgementということで、経営陣の認識および支持を取りつけることが必要ですが、実際には経営陣の支持を得ることが難しい(そのための方法もあまり確立されていない)というのが現状です。これを27001:2013では、CISOを中心とした経営陣による目的・目標の設定を規定することで、経営とセキュリティが一体となった取り組みができるようになりました。セキュリティについて経営陣主導の体制が整えられることで、望ましい状況になっていくことが期待できます。

②      マネージメントシステム企画の共通化、用語の共通化が行われています
27001:2013では、マネージメントシステム(MSS)企画を共通化することで、統合的なセキュリティの構築を行えるようにしています。すべてのMSS規格に共通の目次を持たせることで統一して扱えるようになっています。また、用語の統一も図られ、27000の用語集をもとに統一させています。
この中で、リスクに対する定義が改訂され、「リスクを、目的に対する不確かさの影響」とし、組織の状況の理解に基づいてリスクアセスメントを行う形になりました。これに伴い、リスク値の定義も変更され、今までの「リスク値 = 資産x脅威x脆弱性」が、「リスク値 = 結果x起こりやすさ」として定義されることになりました。「結果: 目的に影響を与える事象の結末」、「起こりやすさ:何かが起こる可能性」ということで、情報セキュリティの目的および計画策定に基づいたリスク判断ということになるようです。今までの定義に基づいてリスク値の説明を行ってきたものにとっては、新しい定義を腹に落とすことが必要になります。また、リスク対応も、今までの4つの手法から7つの手法に変更されており、この新しい定義の理解も必要になってきます。

③      分野別ISMSを確立するための国際規格となっています
27001:2013でもう1つの大きな点は、Sector specific control set standardということで、分野別のISMS体系にしたことです。これにより、一般的な27001と分野別の基準を合わせて、分野対応のISMS認証を行うようになりました。たとえば、後で述べますが、クラウドセキュリティに関しては、27001(generic)+27017でクラウドセキュリティ分野のISMS認証が取得できることになります。

このように、27001:2013では、「経営陣と管理者・従業員とのパイプ役となる情報セキュリティ目的・目標を設定する」ことで、「経営陣と管理者・従業員が、情報セキュリティ目的・目標を共有することでコミュニケーションギャップをなくす」ことができるように改訂されています。今までは、このギャップがさまざまなセキュリティ問題の根底にありましたが、この改訂でかなり解消されることが期待できますし、CISOの設置により、より明確な責任のもとセキュリティプロセスが運営できることが期待できます。特に、日本においては、CISOの設置と合わせて、より経営陣の支持を得たセキュリティプロセスが展開できるようになることが期待できます。

  1. 分野別ISMS規格”ISO/IEC27017”の意義と解説
    クラウドセキュリティにおいては、「クラウドの課題を解決するためには、基準(Criteria)に基づいて、クラウドの利用者と事業者の間で、(国際環境において)共通の理解を実現するための仕組みの確立が必要である」ということから規格化が行われています。今年の10月には、公開されるということです。また、CSAもこの規格の作成には非常に協力しているということです。今後、27017、CCM(Cloud Control Matrix)との関係等、CSA、ひいては、CSAジャパンも幅広く活動していく必要があります。ここでは、27017のいくつかのポイントをあげていきます。

①      27017の適用範囲(Scope)
Cloud Service Provider(事業者)、Cloud Service Customer(利用者側組織)、および、Cloud Service User(実際にクラウドを使う人)を適用範囲とし、Cloud Service Partner(開発者、ブローカー、監査)は、今のところ適用範囲とはしないということです。

②      27001の分野別標準及び分野別管理策となります
27017は、27002をベースとしたクラウドサービスの情報セキュリティコントロールとなります。したがって、章立ては27002と同じになります。また、Annexにクラウド特有のコントロールが追加されています。

③      クラウドコンピュー ティングの用語
用語については、SC38:ISO/IEC17788を用いるということで、NISTの定義などとは違ってきています。
特に、クラウドのモデルに関しては、NISTのサービスモデルと展開モデルとは違い、Cloud Service categoryとCloud Capability Typeを用いた分類となるようです。詳細は省きますが、CSAもNISTのモデルに基づいて定義していますので、今後ガイダンスを含めて影響を受けるものと思われます。

④      クラウド利用者、クラウド事業者双方の視点
27017の管理策であるImplementation guidanceがテーブル形式となっており、それぞれの項目に対して、利用者(CSC),事業者(CSP)のどちらあるいは両方が対応するかどうかがまとめられるようになっています。これにより、利用者、事業者双方の視点でガイダンスを見ていくことができるようになります。

以上、本当に簡単ですが、勉強会の内容の報告とさせていただきます。

SLA-Readyがヨーロッパで発足

クラウドのSLAをガイドするSLA-Readyがヨーロッパで発足

2015年2月13日
日本クラウドセキュリティアライアンス 理事
諸角 昌宏

クラウドサービスの利用する場合、通常、SLA(Service Level Agreement)に基づく契約を行うことになります。CSAのガイダンスでは、「SLAが利用者に提示された時、サービスとプロバイダに対するサービスレベル、セキュリティ、ガバナンス、コンプライアンスおよび法的責任に対して期待される点が、契約上規定され、管理され、強制される」というように記述されています。したがって、利用者は、クラウドサービスを利用する前にプロバイダが提示するSLAを詳細に確認および理解し、クラウドサービスの利用上問題がないことを確認する必要があります。また、必要に応じてプロバイダと交渉しSLAの変更を行うことも必要になります。しかしながら、SLAを理解することは非常に難しいというのが現状です。特に、中小企業(SME)にとっては、クラウドサービスに対する専門家や知識の不足などから、SLAを理解することが難しい状況です。また、SLAの複雑で誤解を招く記述や、ワンクリックで合意しなければならないことが、中小企業のクラウドサービスの採用の足かせとなっています。

SLA-Readyは、SLAの共通の理解を働きかけ、SLAの標準化や透明性の確保を行っていくために設立されました。これにより、どのようなサービスを利用するかという企業の意思決定や信頼性についての情報を提供していくようです。

SLA-Readyは、ヨーロッパのクラウドマーケットの信頼性を構築することに貢献していくことになるようです。今後の動向に注力していきたいと思います。なお、CSAも、このコンソーシアムのメンバーですので、今後CSAがどのように関わっていくかも見ていきたいと思います。

SLA-Readyの情報は、http://www.sla-ready.eu/ で提供されていますので、今後の動向も含めて参照してください。

 

CSA勉強会の活用方法(第7回勉強会に参加して)

日本ヒューレット・パッカード株式会社
吉田 豊満

第7回CSA勉強会に参加してきました。第1回、第6回については都合が合わず参加できませんでしたが、これまでの出席回数としては良く参加できている(ハナマルです)と自負しています。参加することに意義があるかどうか分かりませんが、参加のたびに新しい発見や、今までにお会いすることのなかったような方々と、面会し会話できることはこれまた新たな意見や考えに触れることができ非常に有意義と思っています。

第7回の勉強会はテーマとしてはビックデータでした。ビックデータのセキュリティってデータベースのセキュリティじゃないのと思ってしまうのですが、それ以外にもビックデータを使用したセキュリティ分析があり、またまたビックデータの解析によって得た結果活用によってプライバシー侵害だとされてしまうという事は新たな発見でした。ビックデータについてはCSAーJC内のワーキンググループがあり、笹原さんが中心になって進められています。資料等は下記サイトを開いていただくと、参照できますので是非読んで頂ければと思います。
http://www.cloudsecurityalliance.jp/bigdata_wg.html
ビックデータの解析結果活用が脅威になってしまうという話ですが、ビックデータの解析精度が上がることによっていくらでもこんなことが発生してしまうのではと思いました。購買履歴を元にある人がこれからどんなものを購入するかといった予測をたてるのがビックデータ分析と思います。そして、この予測データを元に推奨商品を提案するというのがよくあるマーケティング活動だと思います。しかし、場合によっては、「こんなものを買うはずも無いのに勧められるのは迷惑である」といった文句を言う人も居ます。勧めるには勧めるだけの理由があるが本人は気づかないということもあります(ビックデータは知っているが、本人は知らない、憶えていないということでしょうか...)。例としてお話があったのは、娘が妊娠していることをしらなかった親が、娘宛に妊婦向けの商品案内をやたらと送ってくる、これは、娘を侮辱していないかと感じ取った事件です。しかし、実際には娘は妊娠していて、嘘ではなかったというのがオチのようです。迷惑と感じたときの受け取り方にもよるのですが、重大な問題を引き起こしてしまう可能性もあり、人によってはプライバシーを侵していると訴える人がでてもおかしくありません。

お勉強の話はこれぐらいにして、CSAの勉強会は1時間30分ぐらいで終了して、その後、勉強会にこられた方々で懇親会を行っています。缶ビールと乾き物で熱く語るというのがCSA勉強会後の懇親会スタイルです。普段私はIT系の方々との接点しかないのですが、この懇親会の場では弁護士の先生であるとか、元警視庁OBの方であるとか、今までお会いしたことの無い方々と面会してお話させていただく機会となっています。また、私のような常連メンバーも何名か居てセキュリティについて語るも良し、商売の話をしても良し、お遊びの話をしても良しで、楽しい仲間が増えていっているということを実感しています。

ぜひ皆さんもCSA勉強会を通じて新たな発見、新たな仲間を作っていっていただきたいと思います。次回の第8回勉強会のテーマは「金融向けクラウドの最新動向」とのことで、FISCベースのお話が聞けるようです。非常に興味あるテーマです。CSA勉強会には誰でも参加できますので奮って参加いただければと思います。
http://www.cloudsecurityalliance.jp/study.html