まず「業務で扱っている情報」から考える

SCS評価制度の要求事項と評価基準を読み進めると、「情報資産」「情報機器」「機密情報」といった言葉にぶつかることがあります。PCやサーバーなどの機器を連想する方もいます。ただ、最初から機器の話に入るより、会社が業務で扱っている情報から考えた方が、整理しやすいことが多いです。

現時点で公表されている要求事項・評価基準を見ると、「情報資産」が何を指すのかを一つの定義として示しているわけではありません。

顧客情報、契約書、見積書、設計図や仕様書、従業員情報、メール、業務データなど、日々の業務に出てくるものに目を向けてみるところからです。中小企業の情報セキュリティ対策ガイドラインでは、業務で利用する電子データや書類を洗い出し、重要度を考える方法が示されています。これはSCSの要求事項そのものではなく、情報を整理するうえでの参考になります。

情報だけでなく、それを扱う環境も把握する

要求事項の「資産管理」には、情報機器やOS・ソフトウェア、ネットワーク、外部情報サービスなどについて把握する内容が含まれています。

ただ、「情報資産」という言葉の範囲を細かく決めることに、あまりこだわらなくてもよいと思います。それよりも、その情報がどこに保存され、どのPCや端末から使われ、どのサーバーやクラウドサービス、ネットワークを経由しているのかを見ていく方が、実際の管理にはつながりやすいでしょう。

PCやクラウドサービスまで、すべて「情報資産」とひとくくりにして考えなくてもよいでしょう。大切なのは、情報そのものと、それを取り扱うIT環境を併せて把握することです。

すべてを同じように管理する必要はない

洗い出した情報を、すべて同じ重要度で扱う必要はありません。顧客情報と、社内で広く共有している一般的な資料を同列に考える必要はない、という意味です。また、漏えいだけでなく、内容を書き換えられたり、必要なときに利用できなくなったりした場合の影響も、情報によって異なります。

前述のガイドラインでは、機密性・完全性・可用性などをもとに重要度を考える方法が紹介されています。SCSで必ずこの方法を使わなければならない、という意味ではありません。情報の重要度を整理する際には、この考え方も参考になります。

「情報資産」の範囲を最初から厳密に決めようとするより、まずは自社でどのような情報を扱っていて、それがどこにあるのかを整理してみる。その方が、SCSの要求事項を自社に当てはめて考えやすいのではないかと思います。