ISO 27001 準拠のための情報分類

ISO 27001 は、情報セキュリティに焦点を当てた国際規格です。この規格は、情報セキュリティマネジメントシステム（ISMS）の確立、実装、運用維持、および継続的な改善を導きます。 コンプライアンス を達成するには、次のことが必要です：

• 保有しているデータ資産が何か、その価値、そして資産の所有者が誰であるかを理解する
• セキュリティの 管制とプロセスを効果的に優先順位付けする
• 機密性を含む重要な資産を適切に保護する, 完全性と可用性（CIAトライアド）
• データの価値を評価し、特定のデータが失われたり、誤用されたり、侵害された場合の影響を見積もることでリスク管理を実施する

この標準は任意ですが、世界中の企業がそれに従うことを選んでいます。要件は、あらゆる業種とあらゆる規模の組織に適しています。特に、データが豊富でありながらリスクも高い今日の環境において重要です。 ISO 27001に準拠することは 監査人や顧客に対し、その企業が価値ある情報を保護するために適切な保護レベルを整備していることを示します。また、法的要件への対応、競争優位の確立、生産性の向上、コスト削減にも役立ちます。

ISO 27001 は、特定の領域を扱うために付録に分かれています。この記事では、資産管理（asset management）を規定する附属書 A.8 の主要な要求事項を解説します。

付録 A.8：資産管理

付録 A.8 は、情報セキュリティ資産を正確に特定し、セキュリティに関する責任を割り当て、データ資産をその分類レベルに基づいて保護するために、組織が実施する必要がある管理策（controls）の種類を定めています。これらの管理策は、技術的、組織的、法的、物理的、人材（人的資源）の管理策に分けられます。

ISO 27001 では、機密性の高い資産の正確な一覧は指定されていません。どの資産を対象とするかは、組織が最善の判断に基づいて決定します。

この付録は3つの主要なサブパートに分かれており、以下で簡単に説明します。続いて、2つ目のサブパートである データ分類 について、さらに詳しく掘り下げます。

A.8.1 資産に対する責任

A.8.1 の目的は、ISMS の適用範囲に含まれるデータ資産を特定し、保護責任を明確にすることです。紙の記録、デジタルファイル、リムーバブルデバイス、メールなど、組織内のすべての情報資産を特定するためにディスカバリー（発見）を実行してください。次に、資産台帳（アセットレジストリ）を作成します。各資産について、それを保護する責任をデータオーナーに割り当てます。

A.8.2 資産の分類

資産を分類することは、データを適切に保護し、必要な人がアクセスできるようにするために取れる最も重要なステップの1つです。分類によって、各資産を適切なセキュリティレベルで保護できます。つまり、感度の低いデータにはより少ないリソースを費やし、最も機密性の高い資産には強力な保護を提供します。

A.8.3 メディアデバイスの手順

A.8.3 の小節は、USBメモリ、CD-ROM、取り外し可能なハードドライブなどのリムーバブルメディアに保存されている情報に対する、無許可の開示、変更、削除、または破壊を防ぐために組織を支援することを目的としています。また、これらのメディアを適切に廃棄または移送（譲渡）するための管理策も含まれており、たとえば許可された運送業者の利用や安全な梱包、すべてのデータ内容とその保護レベルのログ保持などによって data breach を防ぐことを目的としています。

付録 A.8.2 をさらに深掘り：情報の分類

先に述べたとおり、附録 A.8.2 ではデータの分類と、各資産をそれが組織にとって持つ機密性または重要性に応じてラベル付けすることを扱っています。これにより、そうしたレベルに基づいて適切な保護策（アクセス制限など）を実施できるようになります。以下は附録 A.8.2 の各小節です。

A.8.2.1 情報の分類

理想的な情報分類スキームとは、ビジネス活動を妨げたり複雑にしたりするのではなく、それを反映したものです。データの機密性、法的要件、重要度、価値に基づいてスキームを構築し、各資産に適切な保護レベルを割り当てられるようにします。

多くの企業は、最初は3つまたは4つのカテゴリから始めます。たとえば、英国のバース大学（University of Bath）の 分類スキーム では、情報を次のグループに分類します：

• 高度に制限された — アクセスは厳格に管理され、かつ限定されている必要があり、大規模なセキュリティ対策が求められます。
• 制限された — セキュリティ対策と限定されたアクセスが必要ですが、大規模な対策や厳格な統制は必須ではありません。
• 社内利用 — 追加の保護は必要ありません。

4つのカテゴリからなる分類スキームの例として、confidential、restricted、internal、public があります。

A.8.2.2 データのラベリング

物理資産と電子資産の両方に、そのカテゴリを示すラベルを付けるべきです。ラベルは管理しやすく、従業員が適切に使用できるようにする必要があります。たとえば、紙の文書には「secret」または「confidential」とスタンプしてラベル付けできます。電子データは通常、メタデータを使ってラベル付けします。

A.8.2.3 データの取り扱い

データの取り扱いとは、データをどのように使用できるのか、また誰が使用できるのかを指します。たとえば、特定のユーザーグループには、特定のデータ資産を読み取りはできるが、コピーはできないようにすることができます。

データの取り扱いポリシーを徹底するためのコントロール（統制）は複数あります。最も機密性の高い資産については、特定のクリアランス（許可）を持つ人だけが開けられるように暗号化が必要になる場合があります。重要な物理的資産は、施錠されたキャビネットや金庫に保管できます。メディアデバイスの手順は A.8.2.3 に準拠する必要があります。

Netwrix はどのように支援できるか

Netwrix Data Security Platform は ISOへの準拠（コンプライアンス）の達成・維持・実証 に必要なセキュリティインテリジェンスを提供することで支援します:

• データを発見し、分類する あなたのさまざまなリポジトリにまたがって。
• 継続的な リスクアセスメントによってセキュリティのギャップを特定する
• 異常なアクティビティを検出
• 脅威パターンを素早く見つけて調査
• 強固な データアクセスのガバナンス

さらに、このプラットフォームはオンプレミスのデータシステムとクラウドのデータシステムの両方に対応しており、構造化データと非構造化データの両方にも対応しています。