基準の使いどころを見分ける

1組織の方針を具体化する手引き

サイバーセキュリティ経営ガイドラインは、経営者がリスクを認識し、責任者や資源を定めて組織的対策を進める指針です。中小企業の情報セキュリティ対策ガイドラインは、基本的対策から管理体制まで段階的に取り組む手引きです。

ガイドラインを読むだけで安全になるわけではありません。自社の資産と業務に照らし、担当・期限・点検方法まで決めて実行します。

2システム全体と個別脅威の規範

システム管理基準は情報システムの管理の良否を判断する規範、情報セキュリティ管理基準は情報セキュリティの管理を点検する規範です。コンピュータウイルス対策基準やコンピュータ不正アクセス対策基準は、それぞれの脅威への対策を整理する規範として学びます。

サイバー・フィジカル・セキュリティ対策フレームワークは、デジタル空間と現実の設備・活動が結び付く産業のリスクを整理します。IoT（Internet of Things：物のインターネット）セキュリティガイドラインは、ネットにつながる機器の設計・運用などの対策を考える指針です。

3カード情報には対象に合う基準

PCI DSS（Payment Card Industry Data Security Standard：カード業界のデータセキュリティ基準）は、決済カード情報を保護するための技術・運用上の要求を定める基準です。

カード情報を保存・処理・伝送する事業者などが対象になります。

基準であるPCI DSSと、事故対応チームのCSIRT（コンピュータセキュリティ事故に対応するチーム）、半導体のセキュリティチップ、侵入を検知・防御する装置は異なります。名前より「規範・組織・部品・仕組み」のどれかを考えると整理できます。

4基準・部品・組織・装置

PCI DSSはカード情報を扱う事業者などが参照する保護基準です。TPM（暗号鍵などを保護し機器の信頼性確認を支えるチップ）は機器内で鍵などを保護する部品、CSIRTは事故対応を担う組織、IPS（侵入を検知して遮断などの防御を行うシステム）は侵入を検知・防御するシステムです。

「セキュリティ」という言葉が共通していても、何の名称を問われているかが違います。守るべき要求なのか、その要求を実行する人や技術なのかを確かめます。