情報セキュリティ対策とは？事例を参考に対策方法を紹介

情報社会の発展により、IT技術は日々進歩し、私たちの生活になくてはならないものとなりました。
しかし同時に、システムの誤作動や情報の漏洩などによって被る被害の範囲も拡大しています。

情報システムにまつわるリスクを排除するべく、いまや多くの組織に情報セキュリティ対策の担当者が存在しています。
とはいえ、担当者として任命されたものの、「組織における情報セキュリティ対策」とはつまりどういったものなのか具体的なイメージがついていない方もいるのではないでしょうか。

本記事では、情報セキュリティ対策が必要な理由からその実施方法までをわかりやすく解説していきます。
いまから情報セキュリティ対策を検討する方にも、現在の情報セキュリティ対策を改めて見直したい方にもおすすめです。ぜひ最後までご一読ください。

情報セキュリティ対策とは

そもそも「情報セキュリティ対策」とは、組織が保有する機密情報や、それらを記載した紙媒体・保存しているPC・USBメモリなどのデバイスといった情報資産をさまざまな脅威から守るために必要な施策のことです。

人間による情報の盗難や漏洩はもちろんのこと、雷や火災といった自然災害による情報の物理的損失など、組織の情報資産は常にあらゆる脅威にさらされています。
これらのリスクから情報資産を守る「情報セキュリティ対策」は、組織運営において非常に重要な取り組みの一つです。

情報セキュリティの3要素

日本国内の情報セキュリティマネジメントにおける認証基準「JIS Q 27001」では、情報セキュリティの3要素を指標として採用しています。

これらが維持されることではじめて「情報セキュリティが保たれている状態」であるといえます。

よって組織の情報セキュリティ担当者は、これらの3要素の内容に沿ったさまざまな対策を検討しなければなりません。

その対策こそが、いわゆる「情報セキュリティ対策」なのです。

機密性

機密性とは、許可された正規のユーザーだけが情報にアクセスできる状態を維持することを指します。情報セキュリティの3要素において、最も基本的かつ重要な概念の一つです。
この要素が損なわれると、部外者への情報漏洩や不正アクセスによるデータの盗み見が発生し、組織の社会的信用を大きく失墜させることにつながります。

機密性を守るために必要な対策としては、ユーザーIDとパスワードによる認証管理や、データの暗号化、アクセス権限の細分化などが挙げられます。

完全性

完全性とは、情報が正確で最新の状態に保たれ、改ざんや破壊がおこなわれていないことを保証する性質です。
この要素が損なわれると、Webサイトの情報を書き換えられたり、顧客データや売上数値が不正に操作されたりするリスクが生じます。

正確な情報を維持するためには、デジタル署名やハッシュ値の活用、編集権限の適切な制限といった対策を講じることが重要です。

可用性

可用性とは、情報やシステムが必要な時に、中断することなくいつでも利用できる状態を維持することを指します。これは、機密性や完全性と並び、組織の事業継続性を支える極めて重要な要素です。
可用性が損なわれる要因は、サイバー攻撃によるシステムダウンのほか、地震や火災などの自然災害、機器の故障、ヒューマンエラーによる操作ミスなど、非常に多岐にわたります。

これらの脅威に備え、サーバーやネットワークの冗長化、定期的なバックアップの実施、停電対策としての無停電電源装置（UPS）の導入といった対策を講じることが、安定したサービス提供に不可欠です。

情報セキュリティ対策をおこなわないとどんなリスクがある？

情報セキュリティ対策にはコストがかかりますが、直接的な利益を生むものではないことから、予算の割り振りも後回しにされがちです。特に小規模の組織では、情報セキュリティ対策をおこなわないケースもよく聞かれます。

しかしその場合、以下のようなリスクを抱えることにつながります。

不正アクセス

不正アクセスとは、ネットワークを介して本来与えられた権限以上の操作を意図的におこなう行為を指し、システムのセキュリティホールを突いた攻撃により侵入する方法や、不正にIDやパスワードを入手したうえで侵入する方法などが存在します。
一度侵入されてしまえば、マルウェア感染や情報漏洩、システム破壊といったあらゆる攻撃に発展してしまう非常に危険なリスクです。

不正アクセスの対策方法として、いままではファイアフォールなどのフィルタリング技術が一般的でした。これは組織の内外を区切る「壁」を作って、内部の情報資産を守るという考え方（境界防御モデル）です。
しかし、昨今ではクラウドストレージなどの外部サービスに情報資産を保管していたり、社外からモバイル端末を用いてデータにアクセスしたりするケースも増えており、現在はこういったファイアウォールによる対策のみでは追い付かなくなっています。

マルウェア感染

マルウェアとは、悪意を持って作成されたプログラムの総称です。広義では「ウイルス」と呼ばれることもあります。
マルウェアには、USBメモリなどの記憶媒体などから感染する「媒体感染」と、電子メールやWebサイトなどから感染する「ネットワーク感染」といった感染経路が存在し、保有する機能も多様化の一途をたどっています。

マルウェア攻撃では、情報リテラシーの低い利用者の行動が狙われがちです。不用意なメール開封やWebサイトの閲覧、私物USBメモリの使用といった行動が、マルウェア感染を引き起こす一因となりえます。

情報漏洩

情報漏洩とは、組織の持つ重要データが何らかの原因で外部に漏れてしまうことです。

営業ノウハウや技術情報が漏洩した場合には組織の競争力低下を招き、住所やクレジットカード情報といった顧客情報が流出すれば、事業主に対し法的責任まで問われるケースもあります。
そのほか、組織としてのブランドイメージ失墜や、それに伴う新規顧客獲得機会の喪失など、情報漏洩の影響範囲はあらゆる分野に及びます。

情報漏洩がおこる原因としては、外部からの攻撃による情報窃取や内部犯による情報持ち出し、悪意のないヒューマンエラーなどが一般的です。組織のセキュリティ担当者は、内外に潜む脅威に対してそれぞれ対策をおこなう必要があります。

情報漏洩対策の重要性や対策については、下記の記事もご覧ください。

情報の改ざん

不正アクセスなどによって、情報の改ざんがおこなわれる可能性もあります。

主な情報改ざんの事例としては、組織のWebサイトに対する改ざんが挙げられます。意図しない情報を発信してしまったり、クロスサイトスクリプティング（XSS）やクロスサイトリクエストフォージェリ（CSRF）といった攻撃に利用されたりするケースです。

もしこのような情報改ざんが発生してしまえば、組織のイメージダウンや取引先への信用失墜などに繋がり、最終的には企業利益の減少にまで発展してしまいます。

ちなみに、Webサイトにおける情報改ざんの原因は、FTPサーバのパスワードに対するずさんな管理や既知の脆弱性の放置などが大半であると言われています。基本的な情報セキュリティ対策を怠ったことにより、多くの企業が莫大な損失を被っているのです。

情報セキュリティ対策をきちんと実施することで、上述のリスクから身を守れるようになります。
保持したいセキュリティレベルと投資できるコストのバランスを鑑みながら、少しずつでもなんらかの対策は実施するようにしましょう。

サーバー・ネットワーク機器の障害

外部からの攻撃や地震などの災害によって、サーバーやネットワーク機器などのハードウェアにシステム障害が生じる可能性もあります。

このようなインシデントが発生し、業務を中断もしくは停止せざるを得なくなってしまえば、組織活動の機会損失につながりかねません。
またシステムトラブルによって、重要なデータが損失することも考えられます。

顧客や取引先との信頼関係にも影響するため、定期的なバックアップを実施するようにしましょう。

情報セキュリティ対策の目的

ここからは具体的な対策方法をご紹介していきますが、その前に一度情報セキュリティ対策の目的を整理しておきます。情報セキュリティ対策はあくまでもリスク回避の手段にすぎません。対策をやっていくうちに「手段の目的化」がおこらないよう、目的をあらためて明確化することは大切です。

情報セキュリティ対策の目的は、全部で3つあります。

目的①：情報資産の保護

情報セキュリティ対策をおこなう大きな目的の一つは、組織が保有する機密データや、それを記載・記憶する各情報資産を脅威から守ることです。

ちなみに、守るべき重要な「機密データ」というと個人情報や顧客情報がピックアップされがちですが、技術ノウハウなどのいわゆる「営業秘密」も立派な機密データと言えます。

個人情報漏洩によるリスクが大きく取り沙汰されがちですが、自社独自の製品を模倣されてしまう・顧客を横取りされてしまうといった事案を防ぐためにも、情報資産の保護は組織運営にとって非常に重要です。

目的②：顧客や従業員からの信頼獲得

組織として情報セキュリティ対策を真摯に実行している姿勢を見せることは、顧客からの信頼獲得につながります。反対に、情報セキュリティ対策を怠ったことによって、個人情報や医療データの流出といったインシデントが発生すると、信用失墜やそれに付随する顧客離れ、士気の低下による内部の従業員離れなどは避けられません。

情報セキュリティ対策には、信頼を獲得するのと同時に、組織内外からの信頼を失わないようにするという目的も存在するのです。

目的③：組織の競争力強化

目的①と②の結果として、情報セキュリティ対策は組織の経営体質強化にもつながります。

最近ではサプライチェーン攻撃への懸念から、取引先にも十分な情報セキュリティ対策の実施を求める組織が増えてきています。情報セキュリティ対策実施の有無が、市場での競争力に直結してきているのです。

主な情報セキュリティ対策の方法

情報セキュリティ対策をおこなう場合、自社で保有する情報資産の内容を鑑みて、組織に合った対策をそれぞれ検討する必要があります。

ただ、もちろん多くの組織で採用されるスタンダードな施策が存在するのも事実です。
ここでは参考までに、実施されることの多いメジャーな情報セキュリティ対策についてご紹介します。

ソフトウェア・OSのアップデート

組織で利用しているソフトウェアや端末のOSを、常に最新の状態に保つという対策です。

パッチ適用をおこなうことで、ソフトウェアやOSのリリース後に発見された脆弱性に対し、修正用プログラムの上書きが可能です。これによって、セキュリティホールの発生を阻止し、不正アクセスなどのリスクから端末を保護します。

そのほか、パッチ適用の重要性や効率のよい管理方法については、下記の記事もご参照ください。

パスワード管理

組織の情報資産にアクセスするためのパスワードは、適切に管理される必要があります。
パスワード管理では、下記のような対策が有効になります。

ちなみに、以前までは「定期的なパスワード変更」も対策の一つとして挙げられるケースもありました。しかし、これはパスワードの使いまわしを招くとして現在は推奨されていません。
パスワード管理の詳しい対策については総務省のサイトでも紹介されているため、気になる方は下記のページも参照ください。

参考

安全なパスワードの設定・管理 | 国民のためのサイバーセキュリティサイト

アクセス権の管理

パスワードと一緒に運用されることが多いユーザーIDについても、組織による適切な管理が必要です。
具体的には、それぞれのユーザーIDに割り振られた「アクセス権限」の管理が求められます。

アクセス権の管理には、情報資産の重要度にあわせたアクセス権限を各ユーザーへ付与するだけでなく、必要に応じたアクセス権の変更／削除も含まれます。特に、異動・退職のタイミングでは必ずアカウントの権限を見直しましょう。

ウイルス対策ソフトの導入

マルウェア感染の脅威には、ウイルス対策ソフトウェアの導入が有効です。

ウイルス対策ソフトは、パターンファイルというウイルスの特徴を蓄積したデータベースを持っています。それを用いて、各端末で作動している各プログラムに対して検索をおこない、同じ特徴を持つものがないかを監視しているのです。

パターンファイルは常にソフトウェアベンダーによって更新されているため、ウイルス対策ソフトを導入する場合は更新機能をオフにしないようにしましょう。

入退室管理システムの導入

情報資産が物理的に保管されている社屋じたいも、情報セキュリティ対策をおこなうべき対象です。
入室／退室の記録を正確に取得できる入退室管理システムを導入することで、共連れ（1人のIDカードで2人が入室すること）などによる不審人物の侵入を防げます。

また社屋だけではなく、サーバールームや機密データが保管されているエリアなどの重要な区域については、さらに細かい入退室権限管理をおこなうのが理想です。

そのうえで、入退室管理システムによる人の出入りのログを取得しておけば、万一の情報漏洩の際にも迅速に対応できるようになります。

組織で情報セキュリティ対策を実施する際のポイント

今回ご紹介した基本的な情報セキュリティ対策は、どのような業態の組織で導入されても一定の効果を発揮します。
しかし、導入さえすれば必ずすべての脅威を永続的に排除できるわけではありません。セキュリティレベルの維持には、持続的な運営が不可欠です。

組織で情報セキュリティ対策を実施し続けるにあたって、担当者が留意すべきポイントは以下の通りです。

セキュリティ基本方針の策定

組織全体で一貫した対策を講じるためには、セキュリティ基本方針の策定が欠かせません。これは組織が守るべき情報資産を定義し、どのような脅威からどのように守るのかという方向性を示す最高位の指針です。

明確な方針を定めることで、従業員は日々の業務で遵守すべきルールを正しく理解し、安全な行動を選択できるようになります。個人の判断に依存しない組織的な防御体制を築くための基盤となり、外部からの攻撃や内部不正といったリスクの低減に繋がるのです。

策定にあたっては、自社の実態に即した内容を盛り込むことが重要です。テレワーク制度の開始や新たなクラウドサービスの導入など、自社を取り巻く環境に変化が生じた場合には、内容に不備や漏れがないか必ず見直すようにしましょう。

情報資産管理台帳の作成

情報セキュリティ対策を検討する際には、まず組織内にある情報資産を完全に把握する必要があります。情報資産がどこにあるのかがわかっていないと、それらに対する脅威を洗い出すこともできないからです。

情報資産に関する情報が未確定である組織においては、情報資産管理台帳の作成が情報セキュリティ対策の第一歩となります。

編集部からの一言コメント

情報資産の管理が手作業では追い付かない場合、IT資産管理ツールで台帳管理を自動化するのも効果的です！

セキュリティ教育による意識向上

組織の情報セキュリティレベルを維持するためには、従業員の情報セキュリティ意識を一定に保つことが重要です。

新入社員の入社や昇格など、組織編成が大きく変わる時期は、情報セキュリティ教育のよいタイミングと言えます。それ以外でも、最低1年に1回は定期的に研修機会を設けるなどして、情報セキュリティの重要性を継続して伝え続けましょう。

情報セキュリティ教育の具体的な内容は、各々のリテラシーレベルに合わせたものを用意すると効果的です。
また、必要に応じて外部ツールなどを活用し、セキュリティに関する知識を問うテストを実施したり、セキュリティ事故に備えた訓練をおこなったりするのもよいアイディアといえます。

インシデント対応のフロー整備

どれほど強固な対策を講じても、未知の脅威やヒューマンエラーによる事故を完全に防ぐことは難しいため、事後対応の迅速さが組織の命運を分けます。万一のセキュリティインシデント発生に備え、被害を最小限に抑えるための対応フローやマニュアルを事前に整備しておきましょう。

具体的なフローには、異常検知時の報告ルート、影響範囲の特定方法、被害拡大を防ぐための初動対応、そして復旧手順を明確に定めておく必要があります。

あわせて、対外的な説明責任を果たすための情報公開基準や連絡先リストも整理しておきます。責任の所在と役割分担を周知しておくことで、混乱を防ぎ論理的な対処が可能です。
ちなみに、連絡先リストを作成する場合は、担当者がテレワークなどで不在のケースも考慮しておくことをおすすめします。

情報セキュリティに関する最新情報の収集

いまこの記事を読んでいる間にも、新たな攻撃手法や脆弱性は生まれ続けています。
日々最新の情報をチェックして、常に組織内の情報セキュリティ体制を省みることが重要です。

上述のように専門ベンダーへ依頼して情報を提供してもらうのもよいですし、IPA（独立行政法人情報処理推進機構）が更新しているセキュリティ情報を確認するのも一つの選択肢になります。

組織の担当者間で、定期的にお互いが収集した最新情報を共有しあう場を設けるのもおすすめです。

参考

情報セキュリティ│IPA 独立行政法人 情報処理推進機構

多層防御体制の構築

多層防御とは、複数の対策を組み合わせた情報セキュリティ体制のことを意味します。
例えば、まずは侵入を許さない「入口対策」、侵入されたあとに被害拡大を防ぐ「内部対策」、情報を持ちださせない「出口対策」などが代表的な組み合わせです。

情報セキュリティ対策を実施する際には、やみくもにさまざまなソリューションを導入するのではなく、こういった多層防御の考え方も参考にしながら戦略的にツール選定をおこなうとよいでしょう。

取引先・利用サービスの情報セキュリティ対策状況の把握

現在取引をおこなっている相手の組織や、利用しているサービスの情報セキュリティ対策についても情報収集を怠ってはいけません。

特に重要データのやりとりをおこなうような取引先には一層の注意が必要です。個人情報保護法では、個人情報が委託先から漏洩した場合も、委託元組織の監督責任が問われます。

委託先の選定をする際は、情報セキュリティの対策状況を必ず確認するようにしましょう。

同様に、業務で外部サービスを利用する際は、そのサービスがどのような情報セキュリティ体制のもと運用されているのかをきちんと把握しておくことが重要です。

総務省が運営する「国民のためのサイバーセキュリティサイト」では、クラウドサービス利用時に確認すべき情報セキュリティ体制について解説しています。こういった情報も参考にして、サービス選定をおこなうようにしてください。

参考

総務省 国民のためのサイバーセキュリティサイト「クラウドサービスを利用する際の情報セキュリティ対策」

情報セキュリティ対策で知っておきたいツール

ここまで挙げてきた情報セキュリティ対策の種類やポイントを実行するにあたっては、専用ツールの導入も選択肢の一つです。
本項では、情報セキュリティ対策に役立つツールをご紹介します。

１.ウイルス対策ソフト

ウイルス対策ソフトは、マルウェアの感染から端末を保護するために不可欠なツールです。プログラムの動作を監視し、不審な挙動や既知のウイルスを検知して隔離する役割を担います。

OSには標準で無料の対策機能が備わっていることも多いですが、より高度な脅威に備えるためには専用ソフトの導入が推奨されます。常に最新の定義ファイルへ更新し、検知精度を維持することが運用の鍵となります。

Windows環境における標準機能の有効性や活用方法については、下記の記事も参考にしてみてください。

２.ファイアウォール

ファイアウォールとは、特定のネットワーク通信に対して許可／拒否を決定できる仕組みです。組織では、主にインターネットとLAN（社内ネットワーク）間に設置されます。

ファイアウォールには、外部からの不正なアクセスやマルウェア感染をブロックできるという特長があります。よって、外部ネットワークに接続されている環境においては必須の対策といえるでしょう。

しかし、あくまでも確認しているのは送信元と宛先の情報のみであるため、通信の中身自体を把握したうえでブロックできるわけではありません。
なりすましなどによる不正な通信には対応が難しいという点は注意が必要です。

３.MFA（多要素認証）

MFA（多要素認証）とは、アクセスを許可する前に複数の要素を用いて本人確認をおこなう認証方法です。従来のパスワードのみによる認証とは異なり、「知識情報」「所持情報」「生体情報」のうち、2つ以上の異なる要素を組み合わせてセキュリティを強化します。

たとえ不正アクセスによってパスワードが盗まれたとしても、スマートフォンへの通知承認や指紋認証といった別の要素が必要となるため、なりすましによる不正ログインを強力に防げます。クラウドサービスの利用やテレワークが普及する現代において、情報資産を保護するための極めて有効な対策手段です。

４.IT資産管理ツール

情報セキュリティ対策を強化する上で、まず取り組むべきは「自社がどのようなIT資産を保有しているか」を正確に把握することです。何を守るべきかが不明確な状態では、適切な防御策を講じることはできません。

そのため、PCやサーバー、ソフトウェア、ネットワーク機器などの情報を一元管理するIT資産管理ツールの導入は、セキュリティ対策の強固な基礎づくりにおいて極めて重要なステップとなります。

また、Windows OSの更新管理や外部記憶媒体の接続制限など、IT資産に対するさまざまな制御を実施できる機能が多数搭載されているIT資産管理製品もあります。IT資産の保有状況把握だけではなく、こうした管理までおこないたい場合は、セキュリティ対策の第一歩としてIT資産管理ツールの導入を検討してみるとよいでしょう。

参考

SS1の機能一覧
SS1クラウドの機能一覧

セキュリティ対策ツールの費用相場

情報セキュリティ対策ツールの導入費用は、組織の規模や管理する端末台数、必要となる機能の組み合わせによって大きく変動します。特にファイアウォールやサンドボックスなどは、クラウド型かオンプレミス型かという形態の違いや、ベンダーのサポート体制によっても価格帯が変わるため、一律の相場を提示するのが難しいのが実情です。

コストを最適化しつつ適切なツールを選ぶためには、まず自社の管理端末数・利用ユーザー数など、ライセンスに関わるものの必要数を正確に把握し、見積もりの精度を高めることが重要です。そのうえで、本当に必要な機能を絞り込み、不要な機能によるコスト増を防ぐ必要があります。

最終的には複数のベンダーから見積もりを取り、比較検討をおこなうとよいでしょう。

ちなみに、ライセンス数に応じた従量課金制を採用しているツール（例：IT資産管理ツールSS1/SS1クラウド）であれば、小規模な環境からでもコストを抑えて導入を開始できます。

参考

従量課金型の価格形態をもつIT資産管理ツールSS1
IT資産管理ツールSS1の費用に関するお問合せはこちら

情報セキュリティ対策 関連用語一覧

情報セキュリティ対策 総まとめ早見表

ここまで、情報セキュリティ対策の目的・リスク・具体的な手法などを解説してきました。これらの内容を「技術」「管理・体制」「物理」の3つの視点で整理したのが以下の早見表です。自社のセキュリティ課題を見直す際のチェックリストとしてご活用ください。

まとめ

情報セキュリティ対策は、組織の大切な情報資産をあらゆる脅威から守り、信頼性と競争力を維持するために必要な取り組みです。不正アクセスやマルウェア感染といったサイバー攻撃だけでなく、人的ミスや物理的な盗難などのリスクを正しく認識し、適切な防御体制を築くことが求められます。

対策を成功させるには、現状の資産把握から始め、多層防御の視点で技術と運用の両面を強化していく姿勢が重要です。自社の状況に合わせた最適な手法を選択し、継続的な教育と見直しを繰り返すことで、安全な業務環境の維持に努めてください。

ちなみに何から着手すべきか検討されている場合は、対策の第一歩として、管理の基盤となるIT資産管理ツールの導入をおすすめします。

情報セキュリティ対策の基礎作りならSS1！｜導入事例のご紹介

IT資産管理ツールであるSS1は、多くの組織においてセキュリティレベルの向上と業務効率化を同時に実現するための基盤として活用されています。

SS1導入事例１：ニデック株式会社様

ニデック株式会社様では、SS1のUSBメモリ接続制限機能などをお使いいただくことで、情報セキュリティ対策の土台構築にご活用いただきました。
そのほか、SS1とBIツールを連動させた独自のIT資産管理を実施しておられます。

SS1導入事例２：キャタピラー九州株式会社様

主にWindows OSパッチの管理機能をお使いいただいた事例です。パッチ公開から適用までをきっちり管理され、パッチ管理の工数削減を実現しました。

SS1導入事例３：株式会社アンファー様

株式会社アンファー様では、ログ取得による不正行為の抑止や、分析ソリューションとの連携で潜在リスクの洗い出しにご活用いただいています。

情報セキュリティ対策に関するよくあるご質問

情報セキュリティ対策を導入・運用するにあたって、現場の担当者が抱きやすい疑問をまとめました。
実務に即した具体的な解決策を以下の各項目で詳しく解説しますので、自社の体制整備にお役立てください。

情報セキュリティ対策はどこから手を付ければよいですか？

まず「IT資産の棚卸」から始めるのが基本です。組織にどんな機器・ソフトウェアが何台あるかを把握できていなければ、パッチ管理もログ取得も実施できません。
IT資産管理台帳を整備したうえで、パスワード管理・アクセス権設定・パッチ適用・デバイス制限などほかの対策を積み上げていくと効果的です。

IT資産管理を手間なく・正確に実施したい場合には、IT資産管理ツールの導入が推奨されます。

参考

IT資産管理ツールSS1
IT資産管理ツールSS1クラウド

中小企業でも本格的な情報セキュリティ対策は必要ですか？

必要です。近年は大企業の取引先を踏み台にする「サプライチェーン攻撃」が問題となっており、中小企業も標的になるケースが増えています。 また個人情報保護法の観点から、規模を問わず情報漏洩への対応義務があります。

まずはIT資産の可視化とログ管理といった基礎的な対策から着手することで、コストを抑えながら段階的に体制を整えていきましょう。

セキュリティ対策の指針として、セキュリティ対策評価制度などへの対応を軸とするのもおすすめです。

ISMSやPマークは取得しなければいけませんか？

法的な義務ではありませんが、公的機関や大企業との取引条件として要求されるケースが増えています。とはいえ、取得よりも先に「運用ルールの整備・ログ管理の実装」を進めることが現実的です。

IT資産管理ツールSS1などで取得できる操作ログは、ISMS・Pマーク取得時の証跡書類としても活用でき、認証取得のハードルを下げる効果があります。ログ管理に関する詳細は、下記の記事も参考までにご覧ください。

著者プロフィール
SS1LAB編集部
IT資産管理ツールSS1/SS1クラウドを開発・販売している、株式会社ディー・オー・エスの営業企画部メンバーで構成されています。IT資産管理・ログ管理・情報セキュリティ対策など、情シス業務の効率化に役立つ最新トレンド情報を随時発信中！