Table of Contents

FISMA 101：連邦情報セキュリティ近代化法の概要」。

はじめに

連邦情報セキュリティ近代化法（FISMA）は、2002年に制定された米国の法律で、連邦政府機関に対し、情報および情報システムを保護するための情報セキュリティプログラムの確立と維持を義務付けるものです。この法律は、連邦政府における情報セキュリティ向上の必要性の高まりを受けて制定されたもので、その後、脅威の変化に対応するために何度も更新されています。

FISMAとは？

FISMAは、連邦政府機関とその請負業者に適用される、情報セキュリティに関する基準とガイドラインのセットです。FISMAの目的は、機密情報を不正なアクセス、使用、開示、中断、変更、または破壊から確実に保護することです。FISMAは、連邦政府機関に対し、潜在的なセキュリティリスクの特定と評価、それらのリスクを軽減するためのセキュリティ管理の実施、およびそれらの管理の有効性の継続的な監視を含む、情報セキュリティに対するリスクベースのアプローチの実施を求めています。

FISMAの主な構成要素

FISMAには、以下のようないくつかの主要な構成要素があります：

  • リスク管理**：リスク管理**：連邦機関は、潜在的なセキュリティリスクを特定するために定期的なリスク評価を実施し、それらのリスクを軽減するためのセキュリティ管理を実施しなければならない。

  • セキュリティ管理評価**：セキュリティ管理評価**：連邦政府機関は、セキュリティ管理が意図したとおりに機能していることを確認し、改善が必要な領域を特定するために、その有効性を評価しなければならない。

  • 継続的な監視**：連邦政府機関は、情報システムの安全性を確保し、発生したセキュリティインシデントに対応するため、継続的に監視を行わなければならない。

  • Incident Response：連邦政府機関は、セキュリティインシデントに対応するための計画を策定し、セキュリティインシデントを迅速に特定し、封じ込め、解決しなければならない。

  • 認可と認定**：連邦政府機関は、情報システムを運用するために適切な当局から認可を受けなければならず、また、そのシステムが安全であることを保証するために定期的に評価し、再認定しなければならない。

リスク管理

FISMA は、連邦政府機関に対して、潜在的なセキュリティリスクを特定し、そのリスクを軽減するためのセキュリティ管理を実施するために、定期的にリスク評価を実施することを求めています。リスク管理プロセスには、以下のステップがあります：

1.1. 資産の特定：連邦機関は、まず、機密情報や情報システムなど、保護する必要のある資産を特定しなければならない。

2.脅威と脆弱性の評価：脅威と脆弱性の評価**：連邦政府機関は、資産に影響を与える可能性のある脅威と脆弱性を評価し、それらの脅威の可能性と影響を判断しなければならない。

3.リスク判定：脅威と脆弱性の評価結果に基づいて、連邦政府機関は、その資産に対するリスクのレベルを決定し、最初に対処する必要があるリスクに優先順位を付けなければならない。

4.緩和計画：緩和計画**：連邦政府機関は、アクセス制御、暗号化、ファイアウォールなどのセキュリティ制御の実施を含め、特定されたリスクを緩和するための計画を策定しなければならない。

5.実施：実施**：連邦政府機関は、資産に対するリスクを軽減するために必要であると特定したセキュリティ管理策を実施しなければならない。

6.監視及び評価：監視及び評価**：連邦機関は、セキュリティ管理策が意図したとおりに機能していることを確認し、改善が必要な領域を特定するために、情報システムを継続的に監視しなければならない。

セキュリティコントロールのアセスメント

連邦政府機関は、セキュリティ管理が意図したとおりに機能していることを確認し、改善が必要な分野を特定するために、セキュリティ管理の有効性を評価しなければならない。これには、以下の手順が含まれる：

1.テストを行う：テスト**：連邦機関は、セキュリティ管理が正しく機能していることを確認し、対処する必要がある脆弱性を特定するために、セキュリティ管理をテストしなければならない。

2.評価：評価**：連邦機関は、テスト結果を評価し、セキュリティ管理の有効性を判断し、改善が必要な領域を特定しなければならない。

3.是正：評価結果に基づいて、連邦機関は、脆弱性または改善すべき領域に対処するための計画を策定し、必要な是正措置を実施しなければならない。

4.継続的な改善：連邦政府機関は、セキュリティ管理の有効性を継続的に監視・評価し、必要に応じて改善を行い、資産の適切な保護を確保しなければならない。

継続的な監視

連邦政府機関は、情報システムの安全性を確保し、発生したセキュリティインシデントに対応するため、継続的に監視しなければならない。これには、以下の手順が含まれる：

1.リアルタイム監視：リアルタイム監視**：連邦政府機関は、リアルタイム監視ツールを使用して、セキュリティインシデントの発生を検知し、対応しなければならない。

2.ログ分析：ログ分析**：連邦政府機関は、情報システムのログを定期的に確認し、異常または疑わしい活動を検出し、セキュリティインシデントに対応しなければならない。

3.脆弱性スキャン：脆弱性スキャン**：連邦政府機関は、情報システムの脆弱性スキャンを定期的に実施し、対処が必要な脆弱性を特定しなければならない。

4.インシデント対応：連邦政府機関は、セキュリティインシデントに対応するための計画を策定し、セキュリティインシデントを迅速に特定し、封じ込め、解決することができなくてはならない。

認可と認定

連邦政府機関は、情報システムを運用するために適切な当局から認可を受けなければならず、また、そのシステムが安全であることを保証するために定期的に評価し、再認定しなければならない。これには、以下の手順が含まれる：

1.システムの認可：システムの認可**：連邦機関は、情報システムを運用するための認可を適切な当局から得なければならない。

2.セキュリティアセスメント：セキュリティ評価**：連邦政府機関は、情報システムのセキュリティ評価を実施し、セキュリティリスクと脆弱性を特定しなければならない。

3.緩和計画：セキュリティ評価の結果に基づき、連邦政府機関は、セキュリティリスクと脆弱性を軽減するための計画を策定し、必要なセキュリティ管理を実施しなければならない。

4.認定：連邦政府機関は、情報システムが必要なセキュリティ基準を満たし、運用が許可されていることを確認するために、適切な当局から認定を受けなければならない。

5.再認定：連邦政府機関は、情報システムが必要なセキュリティ基準を引き続き満たしていることを確認し、改善すべき点を特定するために、定期的に評価および再認定を受けなければならない。

FISMAのメリット

FISMAには、以下のような利点があります：

情報セキュリティの向上

FISMAの主な利点の1つは、連邦機関の情報セキュリティの向上です。連邦政府機関に強力な情報セキュリティプログラムの確立と維持を義務付けることで、FISMAは機密情報を不正なアクセス、使用、開示から保護するのに役立ちます。さらに、FISMAは、連邦政府機関に対して、定期的なリスク評価、セキュリティ管理評価、および継続的な監視を行うことを求めており、これにより、情報システムの安全性が長期にわたって維持されることを保証しています。

より良いリスク管理

FISMAは、連邦政府機関に対して、定期的なリスク評価と、リスクを軽減するためのセキュリティコントロールの実施を義務付けることで、セキュリティリスクをより適切に管理することも支援しています。これは、連邦機関がセキュリティリスクを特定し、優先順位を付け、それらのリスクを軽減する最善の方法について情報に基づいた決定を下すのに役立ちます。さらに、FISMAは連邦政府機関に対し、情報システムの継続的な監視を義務付けており、これにより、セキュリティリスクが適時に検出され、対処されることを保証しています。

透明性の向上

FISMAは、連邦政府機関に対して情報セキュリティプログラムの報告を義務付けており、透明性と説明責任の向上に役立っています。これにより、連邦政府機関が情報セキュリティリスクをどのように管理しているかを議会などの利害関係者が確認し、セキュリティインシデントが発生した場合の責任を追及することができます。

コラボレーションの強化

FISMAは、連邦政府機関、その請負業者、その他の利害関係者が同じ情報セキュリティ基準に従うことを義務付けることで、連邦政府機関間の協力と協調を強化することにも役立っています。これにより、連邦政府のあらゆるレベルにおいて、機密情報の保護と情報セキュリティリスクの効果的な管理のために全員が協力していることを確認することができます。

結論

結論として、FISMAは米国連邦政府における情報セキュリティの重要な要素である。連邦政府機関に情報セキュリティプログラムの確立と維持を義務付けることで、FISMAは機密情報を不正なアクセス、使用、開示から確実に保護することを支援する。定期的なリスク評価、継続的な監視、インシデント対応を義務付けることで、FISMAは連邦機関のセキュリティリスク管理とセキュリティインシデントへの迅速な対応を支援します。全体として、FISMAは、連邦政府の情報セキュリティを改善し、機密情報を保護するための重要なツールである。