情報セキュリティの基本

情報セキュリティに必要な基礎知識とノウハウを 1 冊に凝縮。会社の情報を守るためのポイントをわかりやすく解説。

『情報セキュリティの基本』は、会社の情報を守るために必要な考え方と対策の進め方を、技術者でない読者にも分かる言葉で解説した入門書です。著者は島田裕次氏、版元は日本実業出版社で、2017 年 3 月に刊行されました。版元の書名表示では『この 1 冊ですべてわかる 情報セキュリティの基本』です。版元の紹介文によれば、サイバー攻撃の手口、情報漏えいの原因、ウイルス対策、不正送金対策といった基本事項から、セキュリティ対策の立て方と体制のつくり方、リスク評価、情報セキュリティ監査の受け方までをやさしく解説しています。

全 7 章の構成、攻撃と漏えいの基礎から監査の受け方まで

版元の目次は章題までの掲載です。第 1 章「そもそも情報セキュリティとは何なのか?」で考え方を押さえ、第 2 章「会社をつぶさないための情報セキュリティの基礎知識」、第 3 章「すぐに手をつけるべき、情報セキュリティ対策の実践」と続きます。後半は第 4 章「情報セキュリティ対策の立て方・体制の作り方」、第 5 章「リスク評価とリスク対応」、第 6 章「一人ひとりの実践がポイント」、第 7 章「情報セキュリティ監査の受け方」という並びです。章題は「会社をつぶさないための」「体制の作り方」のように、会社の経営と組織の動き方の言葉で書かれています。

リスク評価と体制づくりが組織の対策の土台になる理由

情報セキュリティの目標は、一般に 機密性、完全性、可用性 の 3 つで説明されます。漏れてはいけない情報が漏れない、勝手に書き換えられない、必要な時に使える、という状態を保つことです。ただ、すべての情報を同じ強さで守ることは費用の面でも運用の面でもできません。そこで、守るべき情報資産を洗い出し、どのような脅威にさらされ、起きた場合の影響がどれほどかを見積もってから、対策の優先順位を決めるのがリスク評価の考え方です。対策を決めても、誰が責任を持ち、どの部署が何をするかが決まっていなければ続きません。本書の第 4 章と第 5 章は、この体制づくりとリスク評価をそれぞれ章題に掲げています。

一人ひとりの行動と監査への備えで差がつく

情報漏えいは、高度な攻撃だけでなく、メールの誤送信や添付ファイルの不用意な開封、使い回したパスワードといった日常の行動からも起こります。パスワードの決め方 ひとつを取っても、社員の理解がそろっていなければ技術的な対策は効果を発揮しにくくなります。本書は第 6 章で、一人ひとりの実践を独立した章として立てています。最後の第 7 章は監査の受け方を扱う章です。版元の著者プロフィールによれば、島田氏は東京ガスでシステムセンターや監査部マネジャーなどを務めたのち東洋大学総合情報学部の教授となり、公認情報システム監査人 (CISA) や公認情報セキュリティマネージャー (CISM) の資格を持ちます。監査する側の経験を持つ著者が、監査を受ける側に何が求められるかを書いている点は、内部監査や取引先の監査への対応を任された担当者にとって参考になります。

情報セキュリティを初めて任されたビジネスパーソンに向く入門書

この本が合うのは、情報システム部門に限らず、総務や管理部門で情報セキュリティの担当を任された人、社内のルールづくりや研修を始めたい人、経営の立場から全体像をつかみたい人です。逆に、暗号の仕組みやネットワーク機器の設定といった技術の詳細を学びたい技術者には物足りないはずです。その場合は技術書を別に選ぶほうが目的に近づきます。2017 年の刊行時点の攻撃の手口や制度を前提にしているので、個別の事例は刊行後の動向と照らし合わせて読む必要があります。それでも、何から手を付け、どう体制を組み、どう評価して監査に備えるかという組織の対策の流れは時間がたっても変わりにくい部分です。社内の情報セキュリティを一から立ち上げる担当者が、最初の見取り図を得るための 1 冊として手元に置く価値があります。