十月の朝、こむぎ堂に一通のメールが届きました。駅前のホテルが、朝食に出すパンを毎朝納めてほしいというのです。願ってもない話でしたが、添付の「取引先確認シート」には質問が30も並んでいました。「情報セキュリティの方針を定めていますか」「リスクを評価し、対応を決めていますか」「事故が起きたとき、どこへ連絡しますか」。店長はシートを裏返して「うちはパン屋なんだけどな」と苦笑いし、ITの係のミナトに回しました。ミナトがシートを相棒のAIに見せると、最初に返ってきたのは答えではなく、一つの提案でした。「30問に答える前に、この店で守りたいものを全部書き出してみよう」。
3-1情報セキュリティ管理
書き出しを始めてすぐ、ミナトは予約システムの管理画面で手を止めました。利用者の一覧に、春に辞めたアルバイトの名前がまだ残っています。そのIDとパスワードがあれば、いまでも予約の一覧を開ける状態でした。
この時点では、まだ何も起きていません。それでも、辞めた人のIDが悪用されれば、お客さんの名前や電話番号が外へ漏れます。情報が漏れたり、書き換えられたり、システムが止まったりして損失が生じる可能性を、情報セキュリティリスクと呼びます。リスクが指すのは「起きたこと」ではなく「起きるかもしれないこと」です。
実際に起きてしまった望ましくない出来事は、情報セキュリティインシデントといいます。予約の一覧が持ち出された、通販サイトが改ざんされた、ウイルスに感染してレジのパソコンが動かなくなった。どれもインシデントです。リスクを放っておけば、いつかインシデントに変わります。
ここから基本情報！事象とインシデント
基本情報では、インシデントの一歩手前にも名前があります。方針に反しているかもしれない、対策がうまく働いていないかもしれない、と思わせる状態が見つかったことを情報セキュリティ事象といいます。見慣れない場所からのログインが1回あった、というのは事象です。調べた結果、事業に害を与えるおそれが高いと分かったものが、インシデントとして扱われます。事象がすべてインシデントになるわけではありません。
基本情報の範囲ここまで
リスクに向き合う活動の全体はリスクマネジメントと呼ばれ、JIS Q 31000（ISO 31000）に指針がまとめられています。この規格は、リスクを「目的に対する不確かさの影響」ととらえ、リスクについて組織を指揮し統制するための調整された活動をリスクマネジメントとしています。
リスクは、一度片づければ終わりというものではありません。人は入れ替わり、システムは更新され、攻撃の手口も変わります。そこで、計画を立て（Plan）、実行し（Do）、結果を確かめ（Check）、見直す（Act）というPDCAの輪を回し、管理の水準を少しずつ上げていきます。これを継続的改善といいます。
結果を確かめるには、ふだんの様子を見ていなければなりません。ログインの記録や入退室の記録、防犯カメラの映像などを続けて見守り、いつもと違う動きを早く見つけることを監視といいます。辞めた人のIDで深夜にログインがあっても、監視していなければ誰も気づきません。
情報セキュリティでは、こうした活動を組織の決まりに沿って進めます。方針や対策の基準で情報の分け方と扱い方を決めておき、全員がそのとおりに扱うことを情報セキュリティポリシーに基づく情報の管理といいます。扱いが人によってばらばらだと、いちばん甘い扱いをした所から漏れるからです。
辞めた人のIDが残っていたのは、誰かが怠けたからではありません。IDを作る手順はあっても、消す手順がなかったのです。
ここから基本情報！IDと権限の管理
IDを作ってから消すまでを、採用・異動・退職といった出来事に合わせて一貫して扱うことをアカウント管理といいます。こむぎ堂に欠けていたのは、退職の日にIDを止める手順でした。IDの持ち主や権限、作った日などは利用者データベースにまとめて記録されます。このデータベース自体も、誰が読み、誰が書き換えられるかを決めて守る対象です。
IDを持つ人に何をさせるかも決めます。業務で必要な人に、必要な範囲の情報だけを見せるという考え方がneed-to-knowの原則で、シラバスでは最小権限の原則と並べて書かれています。この原則に沿って、利用者ごとの権限を必要な最小限に保つことを利用者アクセス権の管理といいます。パンを焼く担当に、通販の売上の画面まで見せる必要はありません。
利用者の追加や設定の変更ができる管理者の権限は、特権と呼ばれます。特権を持つIDは乗っ取られたときの被害が大きいので、渡す人を絞り、使うたびに記録を残します。これが特権管理です。利用者ごとに、どの端末からならシステムを使ってよいかを決める権限を、端末利用権と呼ぶこともあります。特権管理と端末利用権は、どちらも以前のシラバスに載っていた語です。
基本情報の範囲ここまで
もう一つ、ミナトが気づいたことがあります。こむぎ堂の予約システムは店の中にはありません。インターネットの向こうの事業者が提供するサービスを、月額で借りて使っています。
ここから基本情報！クラウドと外部委託
クラウドサービスでは、守る責任を事業者と利用者で分け合います。建物やサーバ、基盤のソフトウェアの更新は事業者が受け持ち、IDの管理やデータの中身、設定は利用者が受け持つ、というように線を引く考え方を責任共有モデルといいます。線の位置は、借りる形（IaaS・PaaS・SaaS）によって変わります。完成したアプリを借りるSaaSでも、辞めた人のIDを消すのは借りた側の仕事です。
業務を外に任せるときも、考え方は同じです。委託先を選ぶ段階で対策の水準を確かめ、契約で守ることとインシデントが起きたときの報告を取り決め、任せたあとも守られているかを確かめ続けます。シラバスはこうした取り組みを外部委託・クラウド利用時の情報セキュリティ（外部委託やクラウドサービスの利用時における情報セキュリティ）とまとめています。任せられるのは作業であって、責任までは任せられません。
基本情報の範囲ここまで
3-2情報資産の調査
ミナトはノートを片手に、店の中を一回りしました。レジ横の予約ノート、事務所のパソコン、壁に貼ったシフト表。店長の頭の中にしかない天然酵母の配合まで書き出すと、思っていたより長い一覧になりました。
守る対象を決めるには、まず組織が持っている情報資産を洗い出します。情報資産とは、組織にとって価値のある情報と、それを記録したり運んだりする機器や紙のことです。洗い出すときは、情報の中身で分けると漏れが減ります。代表的な分け方をこむぎ堂に当てはめると、次のようになります。
- 顧客情報：お客さんの氏名・電話番号・住所・買った物の履歴。予約ノートと通販の会員データがこれにあたります。
- 営業情報：販売の計画や商談の中身、取引の条件。これからホテルと決める卸値もここに入ります。
- 知的財産関連情報：特許・意匠・著作権・ノウハウなど。紙に書いていなくても、酵母の配合は守るべきノウハウです。
- 人事情報：働く人の経歴・給与・評価。シフト表と時給の一覧がこれです。
一覧を作ると、同じ情報が何か所にもあることにも気づきます。顧客情報は予約ノートにも、事務所のパソコンにも、通販の事業者のサーバにもあります。置き場所が三つあれば、守る場所も三つです。洗い出すときは、中身と一緒に置き場所も書いておきます。
ここから基本情報！情報以外の資産
基本情報では、情報そのもの以外の資産の呼び名も出てきます。サーバやネットワーク機器、USBメモリ、紙の書類のように、形のある資産を物理的資産といいます。働く人そのものと、その人が持つ資格・技能・経験は人的資産です。酵母の配合を知っている店長は、こむぎ堂でいちばん大きな人的資産かもしれません。どちらも、以前のシラバスに載っていた語です。
基本情報の範囲ここまで
3-3重要性による分類
一覧は40行を超えました。全部を金庫に入れるように守っていたら、パンを焼く時間がなくなります。ミナトは相棒に「どれから守ればいいの？」と聞きました。
相棒の答えは、資産ごとに重要さを見積もることでした。物差しになるのは、情報セキュリティの三つの要素である機密性・完全性・可用性です。漏れたら困るか、書き換えられたら困るか、使えなくなったら困るか。この三つを資産ごとに「高・中・低」などで評価します。
評価が出たら、資産をいくつかの段階に分け、段階ごとに扱い方を決めます。この段階を保護レベルといいます。こむぎ堂なら、顧客情報と酵母の配合は「社外秘」、店頭のメニュー表は「公開」です。社外秘は鍵のかかる棚にしまって店の外へ持ち出さず、公開のものは誰に見せてもかまいません。段階が決まれば、新しい資産が増えても、どの扱いを当てればよいかで迷わずにすみます。
ここから基本情報！情報資産台帳
洗い出して分類した結果は、情報資産台帳にまとめます。資産の名前、置き場所、管理の責任者、機密性・完全性・可用性の評価、保護レベルなどを、資産ごとに1行ずつ記録した一覧です。このあとのリスクの見積もりは、この台帳から始まります。資産を買ったり捨てたりしたら、台帳も書き直します。
基本情報の範囲ここまで
3-4リスクの種類
一覧を眺めていた店長が、ぽつりと言いました。「情報が漏れるのも怖いけど、いちばん困るのはオーブンが止まることだよ」。小麦の仕入れ先が一軒しかないこと、口コミが荒れたら客足が落ちること。店長の心配は、パソコンの外にも広がっていました。
情報資産を取り巻く危険は、ウイルスや不正アクセスだけではありません。店長が挙げたように、取引先の事情からも、働く人の思い違いからも、社会の動きからも損失は生まれます。どこから来る危険なのかで分けてみると、見落としが減ります。
ここから基本情報！発生源で分けたリスク
基本情報のシラバスは、発生源や性質で分けたリスクの種類として、次のようなものを挙げています。
- オペレーショナルリスク：業務の手順・人・システムの不備や誤りから生じるリスク。注文の数を打ち間違えて100個多く焼くのも、ここに入ります。
- サプライチェーンリスク：取引先や委託先など、供給の鎖のどこかに原因があって自分たちに及ぶリスク。小麦の仕入れ先が攻撃を受けて出荷が止まる、という場合です。
- 外部サービス利用のリスク：クラウドサービスなど、外の事業者のサービスに頼ることで生じるリスク。予約システムの事業者で障害が起きても、店の側では直せません。
- SNSによる情報発信のリスク：店や働く人の投稿が炎上したり、写真に写り込んだ予約表から情報が漏れたりするリスク。
- 地政学的リスク：国どうしの対立や紛争、政治の変化が事業に及ぶリスク。輸入小麦の値段が跳ね上がる、海外のサーバに置いたデータの扱いが変わる、といった形で現れます。
基本情報の範囲ここまで
何が原因かと並んで、何を失うのかも見ておきます。オーブンが壊れたとき、失うのはオーブンだけではありません。修理を待つあいだの売上も失います。
ここから基本情報！損失の種類と、損失が起きるしくみ
失うものは、損失として四つに分けて考えます。
- 財産損失：建物・設備・お金など、財産そのものが損なわれる損失。壊れたオーブンの修理代です。
- 責任損失：他人に損害を与え、賠償する責任を負うことによる損失。漏れた顧客情報のおわびや賠償がこれにあたります。
- 純収益の喪失：事業が止まって入るはずの収益が入らなくなったり、立て直しに余分な費用がかかったりする損失。休業した日の売上です。
- 人的損失：働く人のけがや病気、死亡によって、その人の力を失う損失。店長が倒れたら、酵母の配合ごと店が止まります。
損失が生まれる仕組みにも呼び名があります。火事や地震、盗難のように、損失を直接引き起こす事故をペリルといいます。その事故を起こりやすくしたり、被害を大きくしたりする状態がハザードです。オーブンのそばに段ボールを積んでおくのがハザードで、それに火が付くのがペリルです。
ハザードには人の心の持ち方から生まれるものもあります。「保険に入ったから、多少壊れても大丈夫」と気がゆるみ、点検を怠るようになる。損失を自分で負わなくてよくなると、かえって注意が下がる現象をモラルハザードといいます。
基本情報の範囲ここまで
リスクを並べたら、次は大きさを比べたくなります。比べるには、何かしらの物差しが要ります。
ここから基本情報！リスクを比べる物差し
お金で比べる代表が年間予想損失額（ALE：Annual Loss Expectancy）です。1回起きたときの損失額に、1年に起きる回数の見込みを掛けて求めます。オーブンの故障で1回20万円の損失が出て、それが5年に1回起きるなら、20万円×0.2回で年4万円です。年4万円の損失を防ぐために年10万円の保守契約を結ぶかどうか、という比べ方ができるようになります。
お金に直しにくいときは、得点法を使います。資産の重要さ、脅威の起こりやすさ、脆弱性の大きさなどの項目に点を付け、その合計でリスクの大きさを比べる方法です。
対策を選ぶときは、防げる損失と並べて、対策そのものにかかる費用も見積もります。機器や仕組みを入れる費用、毎年の運用の費用、担当者の手間など、費用を生む要素をコスト要因と呼びます。シラバスはこの語を用語例に挙げていますが、細かな定義は示していません。
基本情報の範囲ここまで
3-5リスクアセスメント
ミナトは台帳の資産ごとに、起こりそうなことを書き足していきました。「レジのパソコンがウイルスに感染する」「予約ノートを店頭に置き忘れる」「通販の管理画面のパスワードが漏れる」。書くほどに不安が増え、どれもいますぐ手を打たなければならないように見えてきます。
不安を並べただけでは、手を打つ順番は決まりません。順番を決めるための手順がリスクアセスメントで、三つの段階を順に進みます。まず、どんなリスクがあるかを洗い出します。これがリスク特定です。次に、それぞれがどのくらい起こりやすく、起きたらどのくらい困るのかを見積もります。この見積もりをリスク分析といいます。最後に、見積もった大きさを基準と比べて、対応するかどうか、どれから対応するかを決めます。この段階がリスク評価です。
分析では、リスクの大きさを数で表すことがあります。よく使われるのが、情報資産の価値・脅威の大きさ・脆弱性の大きさを掛け合わせたリスク値です。掛け算なので、三つのどれかが0ならリスク値も0になります。価値のない資産、起こりえない脅威、すき間のない守りのどれか一つがあれば、そのリスクは考えなくてよいということです。
ここから基本情報！特定と分析のくわしい中身
リスク特定では、リスクのもとになる要素も書き出します。それだけで、あるいはほかの要素と組み合わさってリスクを生む要素をリスク源といいます。店頭に置きっぱなしの予約ノートは、それ自体がリスク源です。あわせて、リスクごとに管理する責任と権限を持つ人を決めます。これがリスク所有者で、予約ノートのリスクなら、予約の受付を任された人がふさわしいでしょう。
分析の結果はリスクレベルで表します。リスクが起きたときの結果の大きさと、その起こりやすさを組み合わせて表した、リスクの大きさです。起こりやすさを横軸、結果の大きさを縦軸にとった表の上にリスクを置いていく方法をリスクマトリックスといいます。右上（起こりやすく、影響も大きい）のマスに入ったものから手を打つ、という判断が一目でできます。
見積もり方には二通りあります。「高・中・低」のような段階で表すのがリスクの定性的分析で、金額や確率などの数で表すのがリスクの定量的分析です。それぞれ定性的リスク分析手法、定量的リスク分析手法とも呼ばれます（この二つは、以前のシラバスに載っていた呼び方です）。定性的分析は手早くできる反面、評価する人によって結果がぶれます。定量的分析は比べやすい反面、確かな数を集めるのに手間がかかります。年間予想損失額を求めるのは、定量的分析です。
基本情報の範囲ここまで
見積もった大きさを、何と比べて「対応する」「しない」を決めるのか。こむぎ堂では、店長が「年に1回起きても損が1万円以内なら、気にしない」と線を引きました。線が先に決まっていれば、ミナトが一つ一つ店長に聞きに行かなくても判断できます。
ここから基本情報！評価の基準
リスク評価で比べる相手になる基準をリスク基準といいます。
JIS Q 27001 は、リスク基準として二つを決めておくよう求めています。どこまでのリスクなら受け入れるかを定めたリスク受容基準と、リスクアセスメントをどう進めるかを定めたリスクアセスメント実施基準（シラバスの書き方では「情報セキュリティリスクアセスメントを実施するための基準」）です。進め方まで先に決めておくのは、誰がいつ繰り返しても、筋の通った、前回と比べられる結果が出るようにするためです。店長の「1万円以内なら気にしない」は、リスク受容基準にあたります。
基本情報の範囲ここまで
3-6リスク対応
順番の一番上に来たのは「通販サイトが乗っ取られて、お客さんのカード番号が漏れる」でした。店長は腕を組んで「いっそ通販をやめるか」と言い、ミナトは「それはもったいないです」と返しました。どちらの言い分にも理屈があります。
評価の結果を受けて、リスクにどう手を打つかを決めることをリスク対応といいます。打ち手は大きく四つに分かれます。
店長の案はリスク回避（リスクの回避）です。リスクを生む活動そのものをやめて、リスクと縁を切ります。通販をやめればカード番号は漏れませんが、通販の売上もなくなります。
ミナトの案はリスク低減（リスクの低減）です。管理画面のパスワードを長くする、ログインに2要素認証を付けるといった対策を足して、起こりやすさや起きたときの被害を小さくします。
被害の負担を他者に移すのがリスク移転（リスクの移転）です。カード決済を決済代行会社に任せて、店ではカード番号を持たないようにする。保険に入る。どちらも移転です。サイバー攻撃による損害や、調査・復旧にかかる費用を補う保険をサイバー保険といいます。
特別な手を打たずに受け入れるのがリスク保有（リスクの受容）です。予約ノートが雨でにじむ程度のリスクなら、対策にお金をかけるより、起きたときに書き直すほうが安くすみます。保有は放っておくこととは違います。リスクを知ったうえで、受け入れると決めることです。
移転を含む一回り大きな言葉として、リスク共有も使われます。リスクの負担を他者と分け合う対応の総称で、保険や委託による移転のほかにリスク分散が入ります。データを二つの場所に置く、仕入れ先を二軒にする、というように、資産や拠点を分けて、一つの事故で全部を失わないようにする方法です。シラバスでは「リスク共有（リスク移転，リスク分散）」と書かれています。
ここから基本情報！コントロールとファイナンシング
対応策を働き方で二つに分けることもあります。事故の起こりやすさや被害の大きさそのものを小さくするのがリスクコントロールで、回避・低減・分散がここに入ります。起きてしまった損失をお金の面で手当てするのがリスクファイナンシングで、保険による移転や、積み立てたお金で自分で負担する保有がここに入ります。同じものをリスクファイナンスとも呼びます（いまのシラバスの用語はリスクファイナンシングで、リスクファイナンスは以前のシラバスに載っていた語です）。
リスクヘッジは、損失が出たときに反対向きの利益が出る手当てを用意して、損失を打ち消すことです。小麦の値上がりに備えて、いまの値段で先の分まで買う約束をしておけば、値段が上がっても損は打ち消されます。日常の会話では、もっと広く「危険に備えておくこと」の意味でも使われます。
基本情報の範囲ここまで
対応を決めても、それが現場に伝わらなければ動きません。リスクとその対応について、関係する人どうしで情報を出し合い、意見を交わすことをリスクコミュニケーションといいます。アルバイト全員に「なぜ管理画面のパスワードを変えるのか」を説明して困ることがないかを聞くのも、お客さんに「カード番号は店では預かりません」と知らせるのも、リスクコミュニケーションです。
ここから基本情報！対応のあとに残るもの、記録するもの
対応を終えたあとにも残っているリスクを残留リスクといいます。2要素認証を付けても、スマートフォンごと盗まれれば破られるおそれは残ります。残留リスクがリスク受容基準の内側に収まっているかを確かめ、リスク所有者が受け入れを承認します。
選んだ対応を、誰が、いつまでに、どうやって行うかを書いたものがリスク対応計画です。特定したリスクについて、分析と評価の結果や対応の状況を1件ずつ記録した台帳をリスク登録簿といいます。情報資産台帳が「何を持っているか」の一覧なら、リスク登録簿は「何が起こりうるか」の一覧です。
一つ一つは小さなリスクでも、まとめると見過ごせない大きさになることがあります。複数のリスクを一つにまとめ、全体としての大きさをつかむことをリスク集約といいます。対策の費用とリスクの大きさを比べて、やりすぎでも足りなくもない対応を選ぶ考え方は、リスク最適化と呼ばれました。リスク最適化は、以前のシラバスに載っていた語です。
基本情報の範囲ここまで
3-7情報セキュリティ継続
ミナトが次の質問を読み上げました。「災害やシステムの障害で業務が止まったとき、情報セキュリティを保つ手順はありますか」。店長は去年の台風を思い出しました。半日の停電のあいだ、予約の一覧を見る手段がなく、店先でお客さんに名前と電話番号を聞き直したのです。
災害や大きな障害のときにも事業を続けるため、組織は事業を続ける計画を立てます。そこで忘れられやすいのが、非常時の情報セキュリティです。停電の日に予約の一覧を急いで個人のスマートフォンへ写したら、そのスマートフォンが新しい漏えいの入り口になります。非常時にも情報セキュリティを保ち続ける取り組みを、情報セキュリティ継続といいます。事業を続ける計画の中に、最初から組み込んでおくものです。
非常時の備えの土台になるのがバックアップによる対策です。データの複製を作り、元とは別の場所に保存しておきます。同じ店の中に置いた複製は、店が水につかれば元と一緒に失われるからです。こむぎ堂は、予約の一覧を毎晩、通販の事業者とは別のクラウドへ写すことにしました。
ここから基本情報！緊急時の計画と復旧
備えの最初は、起こりうる緊急事態を深刻さや影響の広がりで段階に分け、段階ごとに誰が判断し、どこまで動くかを決めておくことです。この段階分けを緊急事態の区分といいます。「予約システムが1時間止まる」と「店が浸水する」とでは、呼び出す人も、取引先への連絡も違います。
緊急事態が起きた直後の動きを決めたものが緊急時対応計画（コンティンジェンシー計画）です。被害の広がりを抑えることを目的に、連絡の順番、システムを止める判断、代わりの手段への切り替えなどを書きます。止まった業務やシステムを元に戻す手順と体制は復旧計画にまとめます。災害で止まったシステムや業務を立て直す取り組みの全体は災害復旧（DR：Disaster Recovery）と呼ばれます。
インシデントのあとは、何が、どこまで、なぜ被害を受けたのかを調べます。ログを集めて時刻の順に並べる、影響を受けた機器をそのまま保管して証拠を残す、といった調べ方を被害状況の調査手法といいます。調べる前に機器を初期化してしまうと、原因も被害の範囲も分からなくなります。
事業継続を含む、社会の安全（社会セキュリティ）に関わる国際規格を審議していたのが、ISOの専門委員会ISO/TC223です。2015年からは、ISO/TC 292（セキュリティとレジリエンス）がその仕事を引き継いでいます。以前のシラバスに載っていた語です。
基本情報の範囲ここまで
3-8情報セキュリティ諸規程
いちばん答えにくかったのは、最初の質問「情報セキュリティの方針を定めていますか」でした。ミナトは相棒に「方針って、どこまで細かく書けばいいの？」と聞きます。相棒は、一枚に全部を書かず、何段かに分けて書くのがふつうだと教えてくれました。
組織の情報セキュリティの決まりをまとめたものを情報セキュリティポリシーといい、ふつうは段に分けて作ります。いちばん上に置くのが情報セキュリティ方針で、組織として情報セキュリティにどう取り組むかという基本の考えを、経営の最上位の人が示します。情報セキュリティ基本方針とも呼ばれます（以前のシラバスに載っていた呼び方です）。「こむぎ堂は、お客さまからお預かりした情報を、パンと同じように大切に扱います」。短い文でも、店長の名前で出すことに意味があります。
いちばん下には、日々の作業のやり方を書いた実施手順を置きます。「閉店後、予約ノートは事務所の鍵付きの棚にしまう」「管理画面のパスワードは12文字以上にする」のように、誰が読んでも同じ作業ができる書き方にします。方針と手順のあいだには、方針を全員が守る具体的な決まりに直した段を挟み、全体を三段にするのが一般的です。
店の外へ向けて公表する決まりもあります。個人情報をどう集め、何に使い、どう管理するかを定めて公表する文書がプライバシーポリシー（個人情報保護方針）です。通販サイトの下のほうのリンクから、誰でも読めるようにしておきます。
ここから基本情報！真ん中の段と、目的
基本情報では、方針と手順のあいだの段にも名前があります。方針を実現するために、組織の全員が守る決まりをまとめたものが情報セキュリティ対策基準です。「顧客情報は社外秘とし、店の外へ持ち出さない」のように、方針より具体的で、手順よりは一般的な書き方をします。
方針と合わせて、達成したいことも決めます。方針と食い違わず、できれば達成の度合いを測れる形で立てた目標を情報セキュリティ目的といいます。「今年度中に、管理画面のIDすべてに2要素認証を付ける」が、その一例です。
手順のうち、システムを使う一般の利用者が守る行動の決まりをユーザの遵守事項と呼ぶことがあります。以前のシラバスに載っていた語です。
基本情報の範囲ここまで
方針も手順も含めて、組織が自分のために定める決まりをまとめて社内規程といいます。社内規程は一枚に詰め込むより、テーマごとの規程に分けたほうが、読む人が要る所を探しやすくなります。ミナトは「情報の扱い」「インシデントと教育」「規程を回すこと」の三つに分けて、下書きを作りました。
ここから基本情報！情報と文書の扱いを決める規程
- 情報管理規程：情報の分け方と、保管・利用・廃棄のしかたを定める規程。3-3の保護レベルを、ここで正式な決まりにします。
- 秘密情報管理規程：秘密にする情報の決め方、保管のしかた、見られる人の範囲、捨て方を定める規程。酵母の配合を誰が見てよいかは、ここに書きます。同じ趣旨の規程を機密管理規程と呼ぶこともあり、こちらは以前のシラバスに載っていた語です。
- 文書管理規程：文書の作成・承認・保管・廃棄の手続を定める規程。予約ノートを何年残し、どう処分するかもここで決めます。
文書やソフトウェアをいつまで残しておくかという保管期間の管理も、文書管理規程で決めておく事柄です。
基本情報の範囲ここまで
ここから基本情報！インシデントと教育の規程
- 情報セキュリティインシデント対応規程：インシデントが起きたときの報告・初動・復旧の手順を定める規程。シラバスは例としてマルウェア感染時の対応を挙げています。古い呼び方では、ウイルス感染に絞ったコンピュータウイルス感染時の対応規定という語が、以前のシラバスに載っていました。「パソコンがおかしいと思ったら、LANケーブルを抜いて店長に電話する」は、この規程を手順に落とした一行です。
- 情報セキュリティ教育の規程：働く人への教育や訓練を、誰に、いつ、どう行うかを定める規程。新しく入ったアルバイトには、初日に30分の説明をすると決めました。
基本情報の範囲ここまで
働く人のSNSの使い方も、規程の大事なテーマです。働く人がSNSで発信するときに守ることを定めた指針をソーシャルメディアガイドライン（SNS利用ポリシー）といいます。こむぎ堂では、厨房の写真を投稿するときは、壁の予約表が写っていないか確かめる、と書きました。
規程は作った日から古くなり始めます。人が入れ替わり、使うシステムが変わるたびに、書いてあることと実際の作業がずれていきます。
ここから基本情報！規程を回すための規程
規程を守らせ、直し続けるための規程もあります。
- 職務規程：情報セキュリティについて、誰がどの役割と責任を持つかを定める規程。ミナトはITの係、店長は最終の判断、と書きます。
- 罰則の規程：決まりに違反したときの懲戒などの扱いを定める規程。罰があることを知らせておくことも、違反を防ぐ手立てになります。
- 対外説明の規程：インシデントなどが起きたときに、お客さんや取引先、社会へどう説明し公表するかを定める規程。ホテルへ誰が、どの時点で連絡するかもここで決めます。
- 例外の規程：どうしても決まりどおりにできないときに、例外を認める条件と手続を定める規程。例外を認めないと、決まりは守られないまま形だけ残ります。
- 規則更新の規程：規則をいつ、どんな手続で見直すかを定める規程。こむぎ堂では、毎年4月とシステムを入れ替えたときに見直すことにしました。
- 規程の承認手続：規程を作ったり改めたりするときに、誰の承認を得るかという手続。ミナトが下書きし、店長が承認します。
基本情報の範囲ここまで
3-9ISMS
方針と規程の下書きができたころ、ホテルの担当者から電話がありました。「第三者の審査を受けた認証をお持ちなら、確認シートは省略できますよ」。省略できるのはありがたい、と店長は言いかけて、審査とは何を見られるのかと首をかしげました。
規程をそろえても、それが守られ、見直され続けているかは、外からは分かりません。組織が情報セキュリティを管理し、見直し続けるための仕組みをISMS（Information Security Management System：情報セキュリティマネジメントシステム）といいます。このISMSを規格に照らして第三者が審査し、適合している組織に認証を与える制度があります。審査で見られるのは、ある日の対策の出来ばえよりも、PDCAの輪が回り続けているかどうかです。
仕組みを回す責任は、まず経営の最上位にあります。組織を指揮し管理する最上位の人やグループをトップマネジメント（経営陣）といい、こむぎ堂では店長がそれにあたります。トップマネジメントには、方針を示し、人とお金を割り当て、取り組みの先頭に立つリーダーシップが求められます。情報セキュリティをアルバイトの係に任せきりにしていては、この求めに応えられません。
ISMSを作るとき、最初に決めるのがISMS適用範囲です。組織のどの部門・拠点・業務に仕組みを当てはめるかという境界で、こむぎ堂が「店舗と通販の業務」と決めれば、別に開いている料理教室は外れます。認証も、この範囲についてだけ与えられます。
ここから基本情報！ISMSと JIS Q 27001
ISMSに求められることを定めた規格がJIS Q 27001（ISO/IEC 27001）で、ISMSで使う用語の定義はJIS Q 27000（ISO/IEC 27000）にまとめられています。
JIS Q 27001 の要求事項の箇条は、PDCAに当てはめて読むことができます（2013年版からは、規格の中でPDCAの図や節は示されていません）。リーダーシップの箇条の次に置かれた計画（JISの箇条名は「計画策定」）では、リスクアセスメントとリスク対応の進め方や、情報セキュリティ目的を決めます。運用では、計画したことを実行して管理します。パフォーマンス評価では、監視と測定、内部監査、経営陣によるマネジメントレビューで結果を確かめます。最後の改善では、要求を満たしていない点（不適合）を正し、仕組みをよくし続けます。
2023年に改正された JIS Q 27001（ISO/IEC 27001:2022 に対応）は、組織にISMSを「確立し、実施し、維持し、継続的に改善する」ことを求めています。このうち維持（維持管理）は、いったん築いた管理の水準を、人や環境が変わっても保ち続けることを指します。
基本情報の範囲ここまで
ISMSの中で、リスク対応のために実際に選ぶ一つ一つの対策を情報セキュリティ管理策といいます。管理策には、規格のほうで手引きが用意されています。こむぎ堂のような小さな店でも、手引きの一覧と自分の店を見比べれば、抜けている対策に気づけます。
ここから基本情報！管理策と JIS Q 27002
管理策の手引きがJIS Q 27002（ISO/IEC 27002）です。2022年に改訂された ISO/IEC 27002（日本では2024年改正の JIS Q 27002 が対応）は、93の管理策を次の四つに分けています。
- 組織的管理策（37）：方針や役割の決め方、資産の管理、委託先の管理など、組織の運営に関わるもの。
- 人的管理策（8）：採用のときの確認、教育、秘密を守る約束など、人に関わるもの。
- 物理的管理策（14）：入退室の管理、機器の置き場所、記録媒体の処分など、建物や機器に関わるもの。
- 技術的管理策（34）：アクセス制御、暗号、ログ、マルウェア対策など、技術で実現するもの。
管理策には、それが何を達成するためのものかが書き添えられています。この「何のために」を述べた記述を管理目的といいます。目的が分かっていれば、自分の組織にその管理策が要るかを判断できます。
JIS Q 27001 は、採用した管理策と採用しなかった管理策を、理由とともに一覧にした適用宣言書（SoA：Statement of Applicability）を作るよう求めています。こむぎ堂はソフトウェアを自分で作らないので、開発に関する管理策の欄には「除外。自社で開発をしないため」と書きます。
JIS Q 27002 のもとになった国際規格はISO/IEC 17799で、2007年に番号が ISO/IEC 27002 へ改められました。以前のシラバスに載っていた規格番号です。
基本情報の範囲ここまで
ここから基本情報！管理策の属性
2022年版の ISO/IEC 27002 では、一つ一つの管理策に、いくつかの見方で分類した属性が付きました。その一つがサイバーセキュリティ概念で、サイバーセキュリティの取り組みを次の五つの働きでとらえます。この五つは、米国のNIST（国立標準技術研究所）がまとめたサイバーセキュリティフレームワークの機能と同じ名前です。
- 識別：守る資産と、それに対するリスクを把握する。
- 防御：把握したリスクに対して、被害を防ぐ対策をとる。
- 検知：異常やインシデントの発生をいち早く見つける。
- 対応：見つけたインシデントの被害が広がらないよう手を打つ。
- 復旧：止まった業務やシステムを元に戻す。
もう一つの属性が管理策タイプで、管理策がインシデントの前後のどこで働くかを三つに分けます。インシデントを起こさないための予防、起きたインシデントを見つけるための検知、起きたあとに被害を抑えて元の状態へ戻すための是正です。入退室にICカードを使うのは予防、防犯カメラの録画を見返すのは検知、壊れたデータをバックアップから戻すのは是正にあたります。
基本情報の範囲ここまで
ここから基本情報！ISMS認証とガバナンス
組織のISMSが JIS Q 27001 に適合しているかを第三者が審査し、認証する日本の仕組みをISMS適合性評価制度といいます。ISMS適合評価制度と書かれることもあります（以前のシラバスに載っていた書き方です）。審査をするのは認証機関で、その認証機関を認定機関が認める、という二段の構えになっています。審査に合格した組織が得るのがISMS認証で、ホテルの担当者が言っていたのはこれです。
この制度を運営しているのは、一般社団法人情報マネジメントシステム認定センター（ISMS-AC）です。ISMS-ACは、ISMSを作る組織のための手引きとしてISMSユーザーズガイドも公開しています。
ISMSを動かすのが現場の管理だとすると、その管理に経営が責任を持つための仕組みもあります。経営陣が情報セキュリティの方向を示し、取り組みを評価し、監視する仕組みを情報セキュリティガバナンスといい、JIS Q 27014（ISO/IEC 27014）に指針があります。
基本情報の範囲ここまで
クラウドサービスを提供する事業者や利用する組織には、ふつうの認証に上乗せする認証もあります。ISMSクラウドセキュリティ認証で、クラウドサービスのための情報セキュリティ管理策の指針であるISO/IEC 27017に沿って管理しているかを審査します。こむぎ堂が予約システムの事業者を選び直すとき、この認証を持っているかどうかは手がかりの一つになります。
3-10組織・機関
確認シートの「事故が起きたとき、どこへ連絡しますか」の欄で、ミナトの手が止まりました。店の中で誰に知らせるかは決められます。では店の外のどこへ知らせればよいのでしょう。ちょうどその週、ミナトは予約システムの検索欄に記号を入れると、ほかのお客さんの予約が見えてしまうことに気づいていました。
組織の中には、情報セキュリティの方針や大事なことを話し合って決める場を設けます。経営層を含めて構成するのが情報セキュリティ委員会です。こむぎ堂なら、店長とミナトと古株のパートの人が月に一度集まる打ち合わせが、委員会の役目を果たします。
インシデントに対応する専門のチームがCSIRT（Computer Security Incident Response Team）です。インシデントの報告を受け付け、何が起きたかを調べ、対応を指揮し、外部の組織とも連絡を取ります。システムやネットワークを24時間見張り、攻撃の兆しを見つけて分析する組織はSOC（Security Operation Center）と呼ばれます。SOCが見つけ、CSIRTが対応する、という分担がよく見られます。
ここから基本情報！組織の中の専門家
CSIRTやSOCのように、組織の中で情報セキュリティを専門に受け持つ組織を、まとめて情報セキュリティ関連組織と呼びます。
守る側に立ち、持ち主の許可を得てシステムに攻撃を試み、見つけた弱点を報告する技術者をエシカルハッカーといいます。同じような意味でホワイトハッカーとも呼ばれます。シラバスの用語はエシカルハッカーで、ホワイトハッカーは以前のシラバスに載っていた呼び方です。許可を得ているかどうかが、悪意のある攻撃者との境目です。
基本情報の範囲ここまで
店の外にも、知らせる先と相談する先があります。よく出てくるのは、IPA（独立行政法人情報処理推進機構）が受け付ける三つの届出の制度です。
- コンピュータウイルス届出制度：コンピュータウイルスを見つけたり、感染したりしたときにIPAへ届け出る制度。
- コンピュータ不正アクセス届出制度：不正アクセスの被害を受けたときにIPAへ届け出る制度。
- ソフトウェア等の脆弱性関連情報に関する届出制度：ソフトウェアやWebサイトの脆弱性を見つけた人が届け出る制度。
ミナトが見つけた予約システムの不具合は、三つめにあたります。Webサイトで動いているシステムの脆弱性なら、届けられた情報はIPAから運営する会社に伝えられ、運営する会社が確かめて直します。見つけたからといってSNSに書き込んだり、自分で試し続けたりすれば、直る前に悪用される手がかりを広めることになりかねません。
被害を受けたときに頼れる窓口もあります。標的型サイバー攻撃を受けた組織の相談に乗り、被害の把握と対策を支援するIPAの活動がサイバーレスキュー隊（J-CRAT）です。重要インフラなどの企業どうしが、受けた攻撃の情報をIPAを介して共有する取り組みはJ-CSIP（サイバー情報共有イニシアティブ）といいます。
自分から取り組みを始めるための制度もあります。SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言するIPAの制度です。「情報セキュリティ6か条」に取り組むと宣言するのが一つ星、「5分でできる！情報セキュリティ自社診断」で自社の状況をつかみ、情報セキュリティ基本方針を定めて外部に公開するのが二つ星です。国の機関がクラウドサービスを使うときには、ISMAP（政府情報システムのためのセキュリティ評価制度）であらかじめ評価され、登録されたサービスから選ぶのが原則です。
ここから基本情報！国の組織と、脆弱性情報の流れ
国のサイバーセキュリティ政策の中心は、サイバーセキュリティ基本法に基づいて内閣に置かれたサイバーセキュリティ戦略本部です。その事務を担い、政府機関の対策を推し進めてきたのが、内閣官房の内閣サイバーセキュリティセンター（NISC）です。2025年7月1日、NISCは内閣官房の国家サイバー統括室に改組され、戦略本部も内閣総理大臣を本部長として全閣僚が加わる形に改められました。いまのシラバスには、NISCの名前で載っています。
IPAの中で、注意の呼びかけや脆弱性情報の公表、届出の受付などを担う部門がIPAセキュリティセンターです。インシデントの報告を受け付け、国内外の関係者と連絡を取り合って対応を支える調整役がJPCERTコーディネーションセンター（略称JPCERT/CC）で、特定の政府機関や企業に属さない中立の組織です。JPCERT/CCは、組織の中にCSIRTを作るための手引きをCSIRTマテリアルとして公開しています。
ミナトが届け出た脆弱性の情報は、情報セキュリティ早期警戒パートナーシップという官民の仕組みに乗って流れます。どちらの届出もIPAが受け付けます。予約システムのようなWebサイトの脆弱性は、IPAが運営者に知らせて修正を促し、サイトの名前が分かる形では公表しません。ソフトウェア製品の脆弱性は、JPCERT/CCが製品の開発者との調整を受け持ち、対策の準備が整ってから公表します。ソフトウェア製品の脆弱性とその対策の情報を公表するポータルサイトがJVN（Japan Vulnerability Notes）です。
基本情報の範囲ここまで
届出や相談の先は、国の機関だけではありません。分野ごとに、専門の団体や業界の集まりがあります。
ここから基本情報！分野ごとの組織
- CRYPTREC：電子政府で使う暗号技術の安全性を評価・監視し、電子政府推奨暗号リストなどの暗号のリストを作る日本の取り組み。デジタル庁・総務省・経済産業省が共同で運営し、その下の暗号技術評価委員会と暗号技術活用委員会を、NICT（情報通信研究機構）とIPAが受け持ちます。
- ISAC（Information Sharing and Analysis Center：セキュリティ情報共有組織）：同じ業界の組織どうしで、攻撃やセキュリティの情報を共有し、連携して対応するための組織。金融やICTなど、業界ごとに作られています。
- Wi-Fiアライアンス（Wi-Fi Alliance）：無線LAN機器が互いにつながることを認定し、WPA2やWPA3などのセキュリティの仕様を定める業界団体。
- レジストラ：ドメイン名の登録の申し込みを受け付け、登録を管理する事業者。こむぎ堂の通販サイトのドメイン名も、レジストラを通して取得しています。ドメイン名の登録情報を勝手に書き換えられると、サイトごと乗っ取られるおそれがあります。
基本情報の範囲ここまで
3-11基準・指針
店長が、通販でクレジットカードを使えるようにしたいと言い出しました。決済代行会社の案内には「カード情報を扱う場合は、業界の基準に従ってください」とあります。同じ週、オーブンの温度をスマートフォンで見られる新しい温度計も届きました。
対策を一から自分で考える必要はありません。国や業界団体が、相手や分野に合わせた指針を公開しています。ミナトが方針と規程の下書きに使ったのも、その一つでした。
- サイバーセキュリティ経営ガイドライン：経済産業省とIPAがまとめた、経営者向けの指針。サイバーセキュリティを経営の課題ととらえ、経営者が責任者を決めて対策を指示することを求めています。
- 中小企業の情報セキュリティ対策ガイドライン：中小企業が取り組む対策を、段階を追ってまとめたIPAの指針。ミナトは、方針と規程の下書きをこれを手本にして作りました。
- PCI DSS（Payment Card Industry Data Security Standard）：クレジットカードの会員データを安全に扱うための、カード業界の基準。国際的なカードブランドが設立したPCI SSC（PCI Security Standards Council）が定めています。決済代行会社の言う「業界の基準」はこれです。
- IoTセキュリティガイドライン：IoT機器やIoTを使ったシステムを作る人・使う人に向けた対策の指針。2016年に、IoT推進コンソーシアム・総務省・経済産業省がまとめました。
- コンシューマ向けIoTセキュリティガイド：家庭などでIoT機器を使う人に向けて、気をつける点をまとめた手引き。2016年に、日本ネットワークセキュリティ協会（JNSA）が公開しました。以前のシラバスに載っていた語です。
- サイバー・フィジカル・セキュリティ対策フレームワーク：サイバー空間と現実の世界（フィジカル空間）がつながった産業で、供給網の全体を通して必要な対策を整理した、経済産業省の枠組み。
3-10で見たIPAの届出制度も、国が示した基準に基づいています。通商産業省（いまの経済産業省）が告示したコンピュータウイルス対策基準は、ウイルスの予防・発見・駆除・復旧について、利用者やシステムの管理者が実施することを定めています。同じくコンピュータ不正アクセス対策基準は、不正アクセスを防ぎ、見つけ、被害から立ち直るための対策を定めています。どちらも、被害を受けたらIPAへ届け出ることを求めています。
国の外では、米国のNIST（国立標準技術研究所）が作ったサイバーセキュリティフレームワーク（CSF）が、各国の政府や企業に広く参照されています。2024年に公開された2.0では、取り組みを統治・識別・防御・検知・対応・復旧の六つの機能で整理しています。
新しい温度計は、IoT機器です。買ったままの初期パスワードで使い続ければ、インターネットの向こうから誰でものぞけるおそれがあります。ミナトは温度計のパスワードを変え、店のほかのIoT機器と一緒に台帳へ書き加えました。
ここから基本情報！脆弱性情報の取扱いの告示
脆弱性の届出と公表の流れを定めた経済産業省の告示が脆弱性関連情報の取扱規程（正式にはソフトウエア製品等の脆弱性関連情報に関する取扱規程）です。早期警戒パートナーシップは、この規程に沿って動いています。この規程の前身にあたるのがソフトウェア等脆弱性関連情報取扱基準で、以前のシラバスに載っていた語です。
基本情報の範囲ここまで
ここから基本情報！政府機関の基準と、国内外の指針
国の機関が守る情報セキュリティの基準をまとめた文書の集まりを統一基準群といい、NISCが中心になって定めてきました。統一規範・統一基準・対策基準を作るためのガイドラインなどで構成されます。シラバスでの名前は「政府機関等の情報セキュリティ対策のための統一基準群」ですが、令和3年度版からは「政府機関等のサイバーセキュリティ対策のための統一基準群」という名前になっています。政府機関の情報セキュリティ対策のための統一基準群と書かれることもあります（以前のシラバスに載っていた書き方です）。その中心にあり、各省庁が共通して守る対策の内容を定めた文書が政府機関の情報セキュリティ対策のための統一基準です（この呼び方も、以前のシラバスに載っていた語です）。
サイバーセキュリティフレームワークの1.1までの五つの機能（識別・防御・検知・対応・復旧）は、3-9で見た管理策の属性「サイバーセキュリティ概念」と同じ名前です。国際的な指針としては、より古く、OECD（経済協力開発機構）が加盟国に向けて情報セキュリティの基本原則を示したOECD情報システムのセキュリティに関するガイドラインがあります。1992年に出され、2002年に改められたあと、2015年にはデジタルセキュリティのリスクマネジメントについての新しい勧告に置き換えられました。
以前のシラバスには、ほかにも国内の指針の名前が載っていました。情報システムを置く場所や運用の安全対策を示した情報システム安全対策指針（1997年に国家公安委員会が告示したもの。1995年に通商産業省が告示した情報システム安全対策基準とは別の文書です）と、総務省が2013年にスマートフォンの利用に伴う課題への対策の方向をまとめたスマートフォン安心安全強化戦略です。OECDのガイドラインも、以前のシラバスに載っていた語です。
基本情報の範囲ここまで
3-12セキュリティ評価基準
カード決済のために、店頭に置く決済端末を選ぶことになりました。カタログには「国際規格に基づく評価・認証を取得」と並んでいます。どの端末も安全だと書いてありますが、その安全を誰がどうやって確かめたのかが知りたい、とミナトは思いました。
製品が安全だという主張は、作った会社が言うだけでは確かめようがありません。決まった基準と手順で第三者が評価し、その結果を認証する仕組みがあれば、買う側は製品どうしを同じ物差しで比べられます。製品を選ぶときは、どんな認証を、どの範囲について受けているのかを確かめます。
決済端末やICカードのように、盗まれて分解されるおそれのある機器には耐タンパ性が求められます。こじ開けて中を読み取ったり、動いているときの電気信号を測ったりする攻撃に対して、内部の情報を守る性質です。ケースを開けられたら中の鍵を消す、という作りがその一例です。
ここから基本情報！製品を評価する基準と制度
IT製品のセキュリティを評価するための国際規格が ISO/IEC 15408 で、コモンクライテリア（CC）とも呼ばれます。ISO/IEC 15408 に対応する日本産業規格がJIS X 5070です。2000年に1999年版の ISO/IEC 15408 をもとに作られ、2011年には2009年版に合わせて改められました。いまのシラバスにはなく、以前のシラバスに載っていた規格番号です。
コモンクライテリアは、要件を二種類に分けて書きます。製品が備えるべきセキュリティの機能を定めるのがセキュリティ機能要件、その機能が正しく作られていることをどこまで確かめるかを定めるのがセキュリティ保証要件です。確かめの深さは保証レベルで表し、EAL1からEAL7までの評価保証レベル（EAL：Evaluation Assurance Level）があります。数字が大きいほど、設計書の確認や試験が厳しくなります。
評価をどんな手順で進め、どんな証拠を見るかを定めたものを評価方法といいます。コモンクライテリアでは、評価方法を ISO/IEC 18045（CEM：Common Evaluation Methodology）で定めています。評価者が共通の評価方法に従うことで、どの評価機関が評価しても同じ水準の結果が出るようにしています。
日本でこの評価と認証を行う制度がJISEC（ITセキュリティ評価及び認証制度）で、IPAが認証機関を務めています。暗号の処理を受け持つ装置やソフトウェア（暗号モジュール）が正しく作られているかを試験し、認証する制度はJCMVP（暗号モジュール試験及び認証制度）といい、こちらもIPAが運営しています。ただし、2024年4月からは暗号モジュールの認証の申請を受け付けていません。
政府機関がIT製品を調達するときに参照する資料に、IT製品の調達におけるセキュリティ要件リストがあります。経済産業省がまとめたもので、製品の分野ごとに想定される脅威と、それに対して製品が満たすべきセキュリティの要件をまとめたものです。
基本情報の範囲ここまで
認証を受けた製品を選んでも、それを組み合わせて動かしている自分たちのシステムに弱点がないとは限りません。製品の評価とは別に、使っているシステムそのものを調べる方法があります。攻撃者と同じ手口で実際に侵入を試み、守りが働くかを確かめるのがペネトレーションテスト（侵入テスト）です。システムの持ち主の許可を得てから行います。
ここから基本情報！脆弱性の深刻さを測る、広く調べる
見つかった脆弱性がどのくらい深刻かは、CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）で表します。0.0から10.0までの点数で、製品や開発元が違っても同じ物差しで深刻さを比べられます。JVNなどで公表される脆弱性情報にも、この点数が付いています。
システムを調べる方法には、ペネトレーションテストのほかに脆弱性診断があります。既知の脆弱性の一覧や専用のツールを使い、弱点がないかを広く調べる方法です。実際に侵入まで試すペネトレーションテストに比べて、広い範囲を短い時間で調べられます。こちらも、システムの持ち主の許可を得てから行います。
基本情報の範囲ここまで
十一月の初め、ミナトは確認シートの30の欄をすべて埋めて、ホテルへ送りました。第三者の認証はまだありません。代わりに、SECURITY ACTIONの二つ星を宣言し、店長の名前で書いた方針を通販サイトに載せました。辞めたアルバイトのIDは消え、予約ノートは閉店後に鍵付きの棚へ入り、カード番号は店では預からない形になりました。
一週間後、ホテルから返事が届きました。「来月から、毎朝60個お願いします」。その晩、店長は方針の紙を厨房の壁に貼り、「来年の4月に、これをまた見直そう」と言いました。第三者の認証まで取るかどうかは、そのときの打ち合わせで決めるつもりです。