ISO/IEC 27000 / ISMS / BS7799コミュの情報資産の価値

ISO27001の推進に苦戦している泳げない魚です。当社は社員数60名程の商社です。

各部署に情報資産の洗い出しをして、詳細なリストを作成してもらいました。
今リスク分析に進むにあたり、情報資産のグルーピングに頭を悩ませています。

1）資産のオーナー、利用者、保管方法、CIA等が全て同じなものをグループ化してみましたが、情報資産が200位残ってやはり多すぎます。皆さんはどのようにグルーピングしていますが、教えて頂けないでしょうか。

2）情報資産の価値の計算方法は最初C+I+Aの合計値にすることを考えましたが、この方法だと、本当に重要なものが漏れやすいではないかと心配して、Max (C,I,A)に変更しようと思います。皆さんはどのように計算しているでしょうか。

お知恵を貸してください。

コメント(7)

最初
全て
最新の40件

[2] mixiユーザー 09月27日 09:54

1: の方と同様の意見ですが、情報資産の洗い出しは、最初のステップである一方で、最終的にどのようなマネジメントシステムにするのかを想定した上で、どのように洗い出すかを決める必要があります。

1)

情報資産の洗い出しは、最終的にはどのように対策をするのかに結びつけることに使うので、結局対策の種類は変わらないものに対して必要以上に細分化するのは作業が過剰になります。
ただし、情報資産の洗い出しによって新たに顕在化するリスクもあるので、対策の種類を先に決めすぎるのもよくないので、バランスの問題となります。

それを踏まえながらですが、社員数が60名ということであれば、トピ主さんが、まったく知らないような業務が存在していないと仮定してある程度のグルーピングを先にした上で、みなさんにはそれに当てはめてもらう方が効率的です。
その際に、潜在的リスクの見落としを防ぐために、「その他」を設けて、仮定したグループに該当しないものを拾えるようにするのがよいのではないかと思います。
1: のご意見を見ると、60名ではなく数千人規模でも耐えれるように思います。

あと、資産のCIA分類が多種多様になる際の解決策のひとつは、政府機関が採用している方法です。
政府機関の情報セキュリティ対策統一基準
http://www.nisc.go.jp/active/general/kijun01.html
では、CIAについて「格付け」というレベルの他に「取扱制限」を組み合わせています。
「取扱制限」を組み合わせることで、「格付け」をシンプルにした上で、対策の多様性を個々の情報単位でも紐付けできるようにした方法です。

一度、参照していただくと今回の参考になるかもしれません。

「政府機関の情報セキュリティ対策のための統一基準（第４版）」解説書
http://www.nisc.go.jp/active/general/pdf/K303-081C.pdf

全部読むのは大変でしょうが、このトピに関するものとしては、以下の2箇所を読むのでも十分と思います。

1.1.1.3 情報の格付けの区分及び取扱制限の種類
A.1.2 取扱制限の種類に係る付表例

なお、統一基準の場合には、上記のように資産分類した上での、分類に直接関係する対策としては、
第1.3 部情報についての対策
としてまとめられています。
27002 より、かなり具体的になっており手順が明文化されていて参考になるものと思います。

2)

情報資産の価値の計算についても、1: の方と同じ意見で、足したり掛けたりする必要はないと思います。
なぜなら、上記にも書いたとおり、最終的には対策の選択に使うので、CIAの対策はまったく異なるので、分かれたままの方が対策を選択しやすくなります。
おそらく、何か読み物に書いてあったのではないかと思いますが、27001 と 27002 は、CIAを分離する観点と、重要度のような1軸的な観点が混在してしまっていますが、後者は「状況に応じてCIAのそれぞれに沿って、そのうちの重要と思われる軸で考えるように」ということを、かなり乱暴に簡略化して記載している。と思って見てもらうと、すんなりくるのではないかと思います。

情報セキュリティについては、CIAを統合した格付けは、最終的な対策では、もとの3要素に分解するしかないものと思います。
CIAの統合ではなく金銭的価値などを確認しておくということであれば、スナップショットのリスク洗い出しなどに活用できますが、ISMSの観点からすると、そのようなことを一過性ではなく継続的に管理する手間をかける程の効用があるかは疑問です。

コメント書いてる暇があったら、越後湯沢の資料を仕上げて提出しないと・・・ｗ

[4] mixiユーザー 10月22日 15:09

お礼を申し上げるのは大変遅くなりましたが、貴重なコメントを頂きありがとうございます。大変勉強になりました。

基礎的な質問で申し訳ありませんが、もうひとつお聞きしたいことがあります。

同じものは電子データと紙媒体の両方の形で存在している場合、当然CIAが異なるので、両方洗い出しする必要があるではないかという会社の中で議論になっております。

例えば、発注書については、販売システムにデータを入力し、プリントアウトします。この場合、販売システムに入っている電子データの注文書と紙媒体としての注文書を両方洗い出しするほうが良いでしょうか。

また、EXCELで作られた経理資料とそれの印刷物はそれぞれ洗い出してCIA評価する必要がありますか。

ご教授ください。

[6] mixiユーザー 10月22日 19:55

ふいたさん、いつも丁寧ご説明いただきありがとうございます。

説明不足ですみません。こちらも洗い出す必要があると理解していますが、両方リストし分析したら、面倒で何かもう少しシンプルなやり方や逃げ道がないかと議論になっていました。

また質問させていただくことがあると思いますので、今後ともよろしくお願いします。

[7] mixiユーザー 10月22日 23:43

情報資産の洗い出しはモノではなく、中身にどんな情報が入っているのか？その重要性を認識し、リスク評価できるようなフォーマットが良いと思います。
機密性、完全性、可用性も考慮して。。
なんだか教科書をまんま説明してるみたいですが、参考にならなかったらスミマセン