「当社はISMS認証を取得しています」。

コールセンター事業者や問い合わせ窓口を運営する企業にとって、この一文は営業上の重要な資産です。
委託元からの信頼を得るための前提条件になっている業界も少なくありません。

しかし現実には、ISMS認証を取得している企業でも情報漏洩は発生します。なぜでしょうか。認証が意味のないものだからではありません。認証が求めているのは「仕組みがあること」であり、その仕組みが日々の業務の中で実際に機能しているかは、運用側の設計に委ねられているからです。

この記事では、ISO/IEC 27001:2022の管理策のうち、内部不正対策に直結する2つ——8.15「ログ取得」と8.16「監視活動」——を取り上げ、認証を「運用」に落とし込む方法を考えます。  

管理策8.15「ログ取得」が求めていること

8.15は、活動・例外・障害・その他の関連事象を記録したログを取得し、保存し、保護し、分析することを求める管理策です。

ポイントは、「取得」だけでなく「保護」と「分析」まで含まれているという点です。
多くの組織で起きているのは、次のような状態です。

・ログは取得している。しかし、誰も見ていない
・ログは保存している。しかし、必要なときにすぐ取り出せない
・ログは残っている。しかし、権限のある人なら誰でも消せる

これらはいずれも、審査で「ログを取得していますか」と問われれば「はい」と答えられる状態です。しかし実際にインシデントが起きたとき、役に立ちません。

実務に落とすための問い

自社の状態を確認するには、次の問いに答えてみるのが有効です。

1. 3か月前の特定の日に、特定の担当者が何をしていたかを、今すぐ確認できますか？
2. その記録は、当の担当者本人が消したり書き換えたりできない状態になっていますか？
3. その記録を見られるのは誰か、明確に決まっていますか？

この3つに即答できれば、8.15は実質的に機能しています。一つでも詰まるようであれば、そこが改善点です。

管理策8.16「監視活動」が求めていること

8.16は、ISO/IEC 27001:2022で新設された管理策です。ネットワーク、システム、アプリケーションを監視して異常な挙動を検知し、潜在的なインシデントを評価することを求めています。

8.15が「記録を残すこと」であるのに対し、8.16は「記録を見て、異常に気づくこと」を求めています。この違いが重要です。

具体的な実装例としては、次のようなものが挙げられます。

・重要システムへのアクセス量の推移を監視する
・重要な情報・ファイルへの操作内容を監視する
・「正常な状態」の基準を定め、そこからの逸脱を検知してアラートを発する
・監視の記録そのものを保護する

「正常な状態の基準を定める」という点が、実務では最も難しく、同時に最も価値のある部分です。

問い合わせ窓口における「正常な状態」とは

コールセンター・問い合わせ窓口においては、「正常な状態」を比較的定義しやすいという特性があります。業務がシフトと応対件数で管理されているためです。

たとえば、次のような基準が考えられます。

・顧客情報の照会は、シフトに入っている時間帯にのみ発生するはずである
・1件の応対に対する照会件数には、おおよその上限があるはずである
・業務に使用するアプリケーションは限られているはずである
・外部へのファイル送信やクラウドストレージの利用は、通常業務では発生しないはずである

これらの「はずである」から外れた挙動を検知できれば、それが8.16の求める監視活動になります。逆に言えば、基準を言語化しないまま「監視ツールを入れた」だけでは、8.16の実効性は生まれません。

審査対応での実務的なメリット

証跡管理の仕組みを導入していると、審査の場面でも実務的なメリットがあります。
「実施している」ことを画面で示せる。
規程やチェックリストによる説明に加えて、実際の記録画面を提示できると、運用の実在性が伝わりやすくなります。
是正処置の根拠を示せる。
何らかの事象が発生した際、「原因を特定し、こう対処した」という一連の流れを記録に基づいて説明できます。原因不明のまま「今後は注意します」と記載する是正処置報告書とは、説得力が異なります。
サプライヤー管理の証拠になる。
外部委託先・保守ベンダーの作業を記録していれば、供給者関係のセキュリティ（管理策5.19〜5.23の領域）に関する説明材料になります。

サイテカクラウドの位置づけ

サイテカクラウドは、8.15・8.16に対応する記録・監視の具体的な実装手段の一つです。

記録： PC・サーバー上の操作をスクリーンショットとテキストログで記録します。記録データはクラウド側に保存されるため、操作した本人が端末上で消去することはできません。

保護： 記録データを閲覧できる管理者を限定できます。

監視： アプリケーション・URL・キーワードなどを条件にアラートを設定し、定義した「正常な状態」からの逸脱を検知できます。

分析： 日時・ユーザー・キーワードで検索し、該当時点の操作をスライドショー形式で再生できます。「3か月前の特定の日に何が起きていたか」を確認する作業が、現実的な工数で行えます。

なお、ISMSの認証は組織のマネジメントシステム全体に対して与えられるものであり、製品の導入だけで取得・維持できるものではありません。サイテカクラウドは、8.15・8.16という個別の管理策を日々の運用に落とし込むための手段の一つ、という位置づけです。

よくある質問（FAQ）

Q. ISO/IEC 27001:2022の「8.16 監視活動」は新設された管理策ですか？

A. はい。
2022年版で新たに追加された管理策の一つです。ネットワーク・システム・アプリケーションを監視して異常な挙動を検知し、潜在的なインシデントを評価することが求められます。

Q. 管理策8.15「ログ取得」は、どこまでのログを取れば十分ですか？

A. 一律の基準はなく、組織のリスクアセスメントの結果に基づいて決定します。 個人情報を大量に扱う問い合わせ窓口の場合、顧客情報へのアクセス記録と端末操作の記録は、リスクに見合った対象として検討されることが多い領域です。

Q. ISMS認証を取得済みですが、追加で操作ログ管理を導入する意味はありますか？

A. 認証は「仕組みがあること」を評価するもので、実際の運用の深さは組織ごとに異なります。「ログを取得している」と申告していても、内容の確認や異常の検知まで運用できていない場合、実効性の面で改善の余地があります。