管理策、監査、認証

フレームワークを選ぶことは簡単です。難しいのは、管理策を実装し、監査を通じてそれらが機能していることを証明し、必要に応じて認証を取得することです。

このレッスンでは、実践的な道のりを扱います。管理策が実際にどのようなものか、監査人がどのような証拠を期待するか、監査プロセスがどのように進むか、そして認証が意味することと意味しないことを説明します。

管理策は、リスクをどのように低減するかによって、古典的に3つのカテゴリに分類されます。

• 予防的 — インシデントの発生を防ぎます（MFA、ファイアウォール、最小権限）。
• 発見的 — 進行中または発生後のインシデントを明らかにします（ロギング、SIEMアラート、ファイル完全性監視）。
• 是正的 — インシデント後に復旧し、被害を限定します（バックアップ、パッチ適用、インシデント対応）。

強固なプログラムでは、3種類すべてを組み合わせます。予防だけに頼ると、予防策が失敗したときに状況を把握できません。

管理策は、その性質によっても分類されます。

• 管理的 — ポリシー、手順、トレーニング、アクセスレビュー。
• 技術的 — 暗号化、アクセス制御、ロギングなど、テクノロジーに実装されるもの。
• 物理的 — 錠、バッジリーダー、安全な施設。

監査人は、3つすべてを網羅していることを確認します。誰も従わないポリシーによって損なわれる完璧な技術的管理策は、実効性のある管理策とはいえません。

監査人は、2つの観点から管理策を評価します。

• 設計上の有効性 — 意図どおりに機能した場合、その管理策はリスクに対処できるものになっていますか。
• 運用上の有効性 — 実際に、一定期間にわたって一貫して機能していますか。

紙の上では適切に設計された管理策でも、運用で失敗することがあります（実際には誰も実施していないログレビューなど）。証拠によって、両方を証明しなければなりません。

監査は証拠に基づいて行われます。管理策ごとに、運用されていることを示さなければなりません。典型的な成果物には次のようなものがあります。

• 四半期ごとの再認証を示すアクセスレビュー記録。
• アラートが調査されたことを証明するログとチケット。
• 暗号化やMFAが強制されていることを示す設定エクスポート。
• トレーニングの完了記録。

監査人はサンプルを抽出します。管理策を1つ選び、一定期間にわたる証拠を求め、最初から最後まで追跡します。

監査には2つの層があります。

• 内部監査 — 外部監査の前に問題を発見するため、自組織（または雇用した内部監査人）が自組織のISMSをレビューします。ISO 27001で必須とされています。
• 外部監査／認証監査 — 認定を受けた独立した機関が、認証取得に向けて組織を評価します。

内部監査は予行演習です。認証機関に見つけられる前に自分で不適合を発見するほうが、はるかに費用を抑えられます。

ISO 27001の認証監査は2段階で行われます。

• ステージ1 — 文書レビューです。監査人は、ISMS文書、適用範囲、ポリシー、リスクアセスメント、SoAが存在し、整合していることを確認します。
• ステージ2 — 実装監査です。監査人は、インタビュー、証拠のサンプリング、観察を通じて、管理策が実際に運用されていることを検証します。

両方に合格すると証明書を受け取ります。証明書は通常3年間有効で、その間は継続的なサーベイランスを受けます。

監査では、重大度に応じて評価された所見が示されます。

• 重大な不適合 — 管理策が存在しない、または根本的に機能していません。是正されるまで認証の取得が妨げられます。
• 軽微な不適合 — システム全体を損なうものではない不備です。是正処置計画が必要です。
• 観察事項／改善の機会 — 助言であり、不合格を意味しません。

是正処置計画として、根本原因、是正内容、再発防止策を提示します。

認証は永久に有効ではありません。ISO 27001の証明書は、次のサイクルで運用されます。

• サーベイランス監査 — 通常は毎年実施され、ISMSが引き続き運用されているかを確認する、より軽い監査です。
• 再認証監査 — 通常は3年ごとに実施される、全面的な再評価です。

これにより、ISMSが継続的に機能することが確実になります。監査の間に管理策の運用を怠ると、次回のサーベイランス訪問で証明書を失うリスクがあります。

成熟したチームは、継続的なコンプライアンスに取り組むことで、監査前の慌ただしい対応を避けます。証跡を自動的に収集し、統制を常に監査対応可能な状態に保ちます。

• アクセスレビューや設定のスナップショットなどの証跡収集を、スケジュールに従って自動化します。
• S3バケットが公開状態になるなど、統制のドリフトをリアルタイムで監視します。
• コンプライアンスを年次プロジェクトではなく、継続的な状態として扱います。

SOARやコンプライアンス自動化ツールが効果を発揮するのもこの領域です。これらのツールにより、一時点の監査を継続的な保証へと変えられます。

必要な統制を規定どおりに実装できない場合もあります。たとえば、レガシーシステムがMFAに対応できないケースです。フレームワークでは、補完統制、つまり同じリスク目標を満たす代替手段が認められています。

• 元の統制を実装できない理由を文書化します。
• 代替手段を説明します（たとえば、厳格なネットワーク分離とレガシーシステムの強化された監視を組み合わせます）。
• リスクを同等の水準まで低減できることを示します。

監査人は、根拠と同等のリスク低減が明確な証跡によって示されている場合に、補完統制を受け入れます。単に主張するだけでは認められません。

統制、監査、認証について:

• 統制は機能によって予防的、発見的、是正的に、性質によって管理的、技術的、物理的に分類されます。これらをすべて重層的に適用します。
• 監査人は設計の有効性と運用の有効性の両方を評価します。運用の有効性には、一定期間にわたる証拠が必要です。
• 内部監査では外部の認証監査に先立って不備を発見します。認証監査は、文書を確認するステージ1と、実装を確認するステージ2で実施されます。
• 指摘事項には、重大および軽微な不適合や所見があります。是正措置計画で対応します。
• 認証を維持するにはサーベイランス監査と再認証監査が必要です。常に監査対応可能な状態を保つため、継続的なコンプライアンスに取り組みます。