適切な枠組み作りの最初の1歩 - 情報資産の洗い出し

本記事では、会社を経営されている方或いは情報セキュリティ担当者が、自社のセキュリティ体制構築の第一歩を踏み出す時に重要な「情報資産とリスクの洗い出し」について解説いたします。ISMS認証の取得支援の際にもご利用いただける手法になっております。真似して実施するだけでも効果がありますので、ぜひご参考にしてください。

あなたの会社では情報資産を適切に管理できていますか。

セキュリティの体制を構築していく上で、これらの守るべき資産が理解できていないと、サイバーセキュリティに係るリスクの評価を行うことができません。

情報資産はリスクの管理、ひいては強固な組織づくりのためには非常に重要な要素です。

情報資産の管理には、以下の項目に分けて整理することが求められます。

私が顧客向けにISMS認証取得の対応を行っていた際によくいただいた質問や、情報資産管理をする上での重要なポイントを以下にまとめました。

情報資産とは、企業や組織が所持する「ヒト」「カネ」「モノ」に関する重要な情報やデータ、そしてそれらを管理するためのシステムやツールすべてを指します。

重要なのは、情報資産が「顧客情報登録簿」や「給与データ」といった、いかにも「情報」と思われるものだけに限らないという点です。

例えば、社内で使用しているSaaS製品や導入しているツール、リリースしているサービス名なども情報資産に含まれます。これらをExcelなどで整理し、洗い出しを行うことをお勧めします。もしそれでも情報資産なのかが不明瞭な場合は、以下を参考に洗い出してみてください。

＜情報資産にあてはまる例＞

顧客および従業員関連

財務および事業関連

製品・技術関連

インフラおよびソフトウェア関連

情報資産の重要度を定めることは、次のステップにある「リスク評価」を行う上で非常に重要になってきます。重要度の出し方は画一的に定まっているわけではありませんが、認証取得の上でも問題がなく、比較的容易に定めやすい手法を記載いたします。

情報の機密性（漏えいしないこと）、完全性（改ざんされないこと）、可用性（必要なときにアクセスできること）の観点で重要度を評価をします。

以下のようにして軽度なレベルから重度のレベルのものまで、定義を設定する必要があります。状況によっては評価は3段階でも問題ありません。

重要度は、機密性と完全性、可用性を足すことによって算出されます。

重要度 = 機密性 + 完全性 + 可用性

例：機密性：3 ＋ 完全性：4 ＋ 可用性：5 = 12（重要度「高」）

※数値を和で求めるのか、積として求めるのかは、一長一短があります。特に積の場合は、1つでも数字が低くなる（例えば可用性が1である）と、全体の数値も低くなりますし、逆も然りです。機密性はとてつもなく高いのに、可用性が1だからという理由で、全体の重要度が下がってしまう可能性があります。全体のバランスを重視したいときは足し算で、ボトルネック（数値が低いところ）の影響度もきちんと反映させたいときは掛け算が良いです。

必要であれば情報資産の表に以下のように組み入れてもよいかもしれません。

これらの重要度に係る定義は、今後マニュアルを作成する際に必要になりますので、丁寧に保管するようにしてください。

情報資産の台帳は、運用管理が適切に行えていなければ意味がありません。多忙な企業様でも、情報資産管理者が毎月末に数日時間を設け、資産台帳の確認と更新を期限内に行うよう各部署へ依頼することで十分です。資産の確認、追記、修正を含めても5分程度で終わることなので、資産の管理を徹底しましょう。資産の重要度の定義の見直し等は、年に1回程度見直す運用を行うとよいでしょう。

情報資産台帳は、これまでの情報資産の積み重ねを示す重要な記録です。毎月の見直し時に、すでに使用されなくなった資産（例：会社のサービス終了など）については、その情報を削除せず、セルをグレー色で塗りつぶすか、取り消し線を引く形で残しておくことをおすすめします。これにより、過去から現在にかけて適切に情報資産が管理されていることを示すことができます。