はじめに
本記事は、William Stallings 著『Effective Cybersecurity: A Guide to Using Best Practices and Standards』（邦題：効果的なサイバーセキュリティ：ベストプラクティスと標準の活用ガイド）の内容を、エンジニア向けに整理・要約したものです。
本書は全18章で構成されており、ISO 27002・NIST CSF・ISF SGP・CIS CSCといった主要なセキュリティ標準を横断しながら、「何を守るか」ではなく「どのように実装・管理するか」 を体系的に解説した実践書です。セキュリティ設計・統制の導入を検討しているエンジニアにとって、標準群の全体像をつかむための良書です。
本書の目的と構成
本書が一貫して強調するのは、「場当たり的なセキュリティ対策は失敗する」という点です。代わりに、実績ある標準とベストプラクティスをベースにした体系的なアプローチを取ることを推奨しています。
構成は ISF（情報セキュリティフォーラム）の グッドプラクティス標準（SGP）の17カテゴリ に対応しており、各章がそれぞれのカテゴリの実装ガイドとして機能します。
パートI サイバーセキュリティの計画（第1〜4章）
パートII サイバーセキュリティ機能の管理（第5〜16章）
パートIII セキュリティ評価（第17〜18章）
第1章：ベストプラクティス・標準・行動計画
サイバーセキュリティの定義
ITU-T X.1205 によれば、サイバーセキュリティとは「ツール・ポリシー・セキュリティ概念・ガイドライン・リスク管理アプローチ・技術の集合体」であり、達成すべき主な目標として次の6つが挙げられています。
| 目標 | 説明 |
|---|---|
| 可用性（Availability） | 要求に応じていつでもアクセス可能である |
| 完全性（Integrity） | 不正・偶発的な変更がない |
| 真正性（Authenticity） | 本物であり検証可能 |
| 否認不可（Non-repudiation） | 送受信の事実を後から否定できない |
| 機密性（Confidentiality） | 権限のない者に情報が漏れない |
| 説明責任（Accountability） | アクションをエンティティに追跡可能 |
主要な標準・フレームワークの比較
本書で参照される代表的な標準を以下に整理します。
| 標準 | 発行元 | 特徴 |
|---|---|---|
| ISF SGP | ISF | 17カテゴリ・132トピック。最も詳細なベストプラクティス集 |
| ISO 27001 | ISO/IEC | ISMS要件を定義。認証取得のベースライン |
| ISO 27002 | ISO/IEC | セキュリティ管理策の実践規範。90ページ・14領域 |
| NIST CSF | NIST | 識別・防御・検知・対応・復旧の5機能。計画ツールとして有用 |
| CIS CSC | CIS | 実際の攻撃経験に基づく20のコントロール |
| COBIT 5 | ISACA | ITガバナンス・管理の包括フレームワーク |
| PCI DSS | PCI SSC | 決済カードデータ保護に特化した12要件 |
ISO 27001 と ISO 27002 の違い
よく混同されがちな2つの関係を整理します。
- ISO 27001：ISMSを「構築・認証するための要件」。チェックリスト的で9ページ分の仕様。
- ISO 27002：具体的な「セキュリティ管理策の実践規範」。27001が何をすべきかを定め、27002がどのようにするかを補完します。
第2章：セキュリティガバナンス
セキュリティガバナンスとは、経営レベルで情報セキュリティ関連の活動を指導・監視する仕組みです。コーポレートガバナンスの一部として位置づけられ、CISOの役割・セキュリティポリシーの策定・ステークホルダーへの説明責任が中心的なテーマです。
第3章：情報リスク評価
リスク評価は、以下のサイクルで実施されます。
資産の識別 → 脅威と脆弱性の特定 → リスクの評価 →
リスク対応オプションの選択 → コントロールの実装 → 監視・再評価
本書はリスクを「(影響の大きさ) × (発生可能性)」で定量化するアプローチを基本とし、資産ごとに優先度をつけてコントロールを選択することを推奨しています。
第4〜5章：セキュリティ管理・人材管理
セキュリティ管理は、ポリシーの策定から始まります。ポリシーが存在しなければ、個々のコントロールが点在するだけで一貫性を欠きます。
人材管理では、雇用前・雇用中・退職時という3フェーズのライフサイクルでのセキュリティ施策が重要です。特に退職時のアクセス権の即時剥奪や機密情報の管理は、内部脅威の観点から軽視されがちなポイントです。
第6章：情報管理
情報の分類・ラベリング・保護が中心テーマです。情報は「機密性レベル」に応じて取り扱いを変える必要があり、分類基準を組織内で統一することが前提となります。
第7章：物理資産管理
ハードウェアのライフサイクル管理（調達・運用・廃棄）と、モバイルコンピューティングのセキュリティが扱われます。廃棄時のデータ消去（サニタイズ）は法的リスクにも関わる重要事項です。
第8章：システム開発
NISTのSDLC（システム開発ライフサイクル）に基づき、セキュリティを設計段階から組み込む「セキュリティ・バイ・デザイン」の考え方が中心です。要件定義・設計・実装・テスト・維持の各フェーズでのセキュリティ統合が解説されています。
第9〜10章：ビジネスアプリケーション管理・システムアクセス
アプリケーション管理では、エンタープライズアプリとエンドユーザー開発アプリの両面での統制が必要です。
システムアクセスでは、認証の3要素（知識・所持・生体）と最小権限の原則が基本となります。ID管理・アクセス制御・特権アカウントの管理は、多くの侵害事例で起点となる領域です。
第11〜12章：システム管理・ネットワークと通信
サーバーのセキュリティ脅威（マルウェア・不正アクセス・設定ミス）への対策と、ネットワーク管理システムに求められる要素が解説されています。ゼロトラスト的な考え方の萌芽として、「すべての通信を検証する」という姿勢が一貫して推奨されます。
第13章：サプライチェーン管理とクラウドセキュリティ
外部サプライヤーを経由した攻撃は近年増加しています。本章では、サプライヤー評価・契約時のセキュリティ要件定義・継続的なモニタリングの重要性が強調されています。
クラウドコンピューティングの利用では、責任共有モデルの理解が前提となります。クラウドプロバイダーが管理する範囲と、利用者が管理すべき範囲の境界を明確にすることが必要です。
第14章：技術セキュリティ管理
セキュリティアーキテクチャの設計原則と、暗号化の適切な利用が扱われます。特に鍵管理は、暗号化の効果を担保する上でしばしば軽視されがちな部分として強調されています。
第15章：脅威とインシデント管理
本章は ISF SGP において最も詳細に記述されている領域の一つです。ISO 27002 が4ページで7サブトピックを扱うのに対し、SGPは22ページ・74サブトピックで対応しています。
インシデント管理の主要プロセスは以下の通りです。
検知 → トリアージ → 封じ込め → 根本原因分析 →
復旧 → 事後レビュー → 再発防止
脅威インテリジェンスの活用と、サイバー攻撃からの保護（レジリエンス）も重要トピックとして取り上げられています。
第16〜17章：地域環境管理・事業継続性
物理的セキュリティ（入退室管理・環境管理）と、BCP（事業継続計画）が扱われます。BCPでは、RPO（目標復旧時点）・RTO（目標復旧時間）の設定とテスト実施が重要です。
第18章：セキュリティ監視と改善
X.816モデルに基づくセキュリティ監査と、継続的改善の枠組みが解説されています。セキュリティは一度実装すれば終わりではなく、計画 → 実施 → 確認 → 改善（PDCAサイクル） を継続することが前提です。
本書から得られる視点：なぜ標準を使うのか
本書が繰り返し強調するのは、「独自のアプローチは失敗する」という事実です。ISF SGP・ISO 27002・NIST CSFはいずれも、数多くの実装経験と組織コンセンサスの積み重ねから生まれています。
エンジニアとして個々の技術実装を担う立場であっても、「どの標準に基づいてこのコントロールを選択しているか」を意識することは、設計の説得力と組織全体のセキュリティ成熟度向上につながります。
まとめ
| 局面 | 推奨リソース |
|---|---|
| 全体計画・リスク管理の方針決定 | NIST CSF |
| 管理策の網羅的な選択 | ISF SGP・ISO 27002 |
| 具体的なコントロールの優先順位付け | CIS CSC |
| ISMS認証の取得 | ISO 27001 |
| 決済データを扱う場合 | PCI DSS |
セキュリティ設計に携わるエンジニアが標準群の全体像を把握しておくことは、個別の実装判断の質を上げるだけでなく、組織内での説明責任を果たす上でも有効です。本書はその入り口として、体系的かつ実践的な視座を提供しています。