JIS Q 27014
概要
経営層が情報セキュリティをどのように統治し、組織全体の目標達成やリスク管理に結び付けるかを示した規格である。対策そのものの実施手順ではなく、経営管理の観点からの指針を提供する。情報システム部門やセキュリティ担当部門だけに任せず、組織のトップや経営幹部（取締役会や理事会など）が主体的に関与することを前提としている。
この規格では、経営陣が実行すべきガバナンスプロセスとして、「評価」「指示」「モニタ」「コミュニケーション」が定められている。「評価」は現状や将来の変化を踏まえて必要な調整を判断するプロセス、「指示」は目的や戦略を示すプロセス、「モニタ」は戦略的目的の達成度を評価するプロセス、「コミュニケーション」は経営陣と従業員や利害関係者が情報を交換するプロセスである。
JIS Q 27014は、情報セキュリティマネジメントシステム（ISMS）に関する規格群である「JIS Q 27000シリーズ」の一つである。「JIS Q 27001」が情報セキュリティマネジメントシステムの要求事項を定め、現場や管理職を中心とした運用のPDCAサイクルに重点を置くのに対し、JIS Q 27014はそれを一歩引いた視点から統治するための枠組みを提供する。両者は対象とする視点が異なり、前者は運用管理の仕組み、後者は組織の統治や監督に焦点を当てている。
この規格を適用することで、情報セキュリティに関連した組織内の活動について経営層の視点から把握しやすくなる。情報セキュリティを単なる技術的な対策の集合としてではなく、組織全体の統治の一部として位置付ける考え方が、この規格の基盤となっている。近年ではサイバー攻撃の高度化や情報漏洩事故の影響拡大に伴い、情報セキュリティを経営課題として扱う必要性が高まっており、組織規模や業種を問わず参照される指針として活用されている。
共有ボタンをタップ