セキュリティ編 第12章 / 全13章
ルールと人（セキュリティ管理）とは
ポリシー ・ 教育 ・ ISMS ・ 個人情報保護法
仕組みを回し続ける交通ルールと教習所。車（技術）がいくら安全でも、ルールを知らず、練習していなければ事故は起きる。
図とさわれるデモで確かめる →
ポイント
- 守る方針とルール（セキュリティポリシー）を文書にし、全員に知らせる
- 教育と訓練をくり返し、「おかしい」と気づける人を増やす
- 取引先・委託先の対策も確かめる。法令（個人情報保護法など）も押さえる
名前の由来
policy方針（ギリシャ語 politeia：国のあり方）
セキュリティポリシー：会社として、情報をどう守るかを決めた方針とルール。
仕事の現場では
中小企業は、IPAの「中小企業の情報セキュリティ対策ガイドライン」と、自社の取り組みを宣言する「SECURITY ACTION」から始めるのがおすすめです。経営者が関わることが何より大切です。
くわしく（正確な話）
- 情報セキュリティを組織として管理する仕組みを第三者に認証してもらう制度が ISMS（ISO/IEC 27001）。
- 経済産業省とIPAは、経営者向けに「サイバーセキュリティ経営ガイドライン」を出している。
- 本物そっくりの訓練メールを送る「標的型メール訓練」が、教育の定番。
- 委託先に個人データを渡すときは、委託先を監督する責任がある。
この章の用語（意味と語源）
- セキュリティポリシー Security Policy
会社として情報をどう守るかを決めた、方針とルール。
語源policy はギリシャ語 politeia（国のあり方）から。
- セキュリティ教育 / 訓練 Security Awareness Training
社員が手口を知り、怪しいメールに気づけるようにする取り組み。
語源education はラテン語 educere（引き出す）から。
- ISMS アイエスエムエス
情報セキュリティを組織として管理する仕組み。また、その認証制度。
語源Information Security Management System（情報セキュリティの管理の仕組み）の頭文字。
- 個人情報保護法 こじんじょうほうほごほう
個人情報の取り扱いのルールを定めた日本の法律。
利用目的の明示、安全管理、委託先の監督、漏えい時の報告などが定められています。
語源正式名は「個人情報の保護に関する法律」。2003年に成立し、何度も改正されています。
- IPA 情報処理推進機構
日本の情報セキュリティの情報や、ガイドラインを出している独立行政法人。
毎年「情報セキュリティ10大脅威」を公表し、中小企業向けのガイドラインも用意しています。
語源Information-technology Promotion Agency の頭文字。
- SECURITY ACTION セキュリティアクション
中小企業が、情報セキュリティ対策に取り組むことを自ら宣言する制度。
IPAが運営しており、一つ星・二つ星の段階があります。
語源security（安全）+ action（行動）。