情報システムセキュリティの方法論とは？IAM・IEM・SIPESの基礎を徹底解説

方法論（メソドロジー）とは、特定のタスクや機能を遂行・実行するために必要な具体的な実践手法、プロセス、ルールを体系的にまとめたものです。情報システムセキュリティ（INFOSEC）の分野では、組織のセキュリティ体制を評価・強化するために、いくつかの代表的な方法論が確立されています。

本記事では、その中でも特に重要な「IAM」「IEM」「SIPES」という3つの方法論について、それぞれの目的や構成フェーズをわかりやすく解説します。

INFOSEC Assessment Methodology（IAM）とは

INFOSEC Assessment Methodology（IAM）は、自動化された情報システムのセキュリティ状況（INFOSECポジション）を調査するための一貫した統制手法を提供することを目的とした方法論です。

IAMは、稼働中の特定のシステムに対して高レベルの評価を実施し、潜在的な脆弱性を特定することに重点を置いています。あくまで「文書ベースでの評価」であり、実際に攻撃を試みるものではない点が特徴です。

IAMの3つのフェーズ

IAMは、以下の3つのフェーズで構成されています。

• Pre-Assessment（事前評価）：ユーザーのニーズを全体的に把握し、評価対象となるシステムを定義し、評価に関する交戦規則（Rules of Engagement）を確立します。このフェーズは、書面による測定計画の作成をもって完了となります。
• On-Site Activities（オンサイト活動）：IAMの中核となるフェーズです。事前評価の成果物を受け取り、その内容を検証しながら、さらなるデータ収集と妥当性確認を行います。
• Post-Assessment（事後評価）：収集した情報を整理・分析し、最終的な評価レポートとして取りまとめます。

INFOSEC Evaluation Methodology（IEM）とは

INFOSEC Evaluation Methodology（IEM）は、システムの脆弱性を技術的に評価し、実際のINFOSEC設計が正しく機能しているかを検証するための手法を提供することを目的としています。

IEMはIAMの補完的な方法論として位置づけられており、IA-CMMフレームワーク全体の傘下に属しますが、対象としては「脆弱性発見トライアド」のレベル2に該当します。

IAMとIEMの違い

両者の最大の違いは、評価のアプローチにあります。

• IAM：文書ベースの評価により、システムに存在しうる「潜在的な脆弱性」を特定する。
• IEM：実際に手を動かすハンズオン形式の技術評価を実施し、脆弱性が「実際に存在するか」を検証する。

つまり、IAMが机上での分析中心であるのに対し、IEMはより実践的・技術的な検証を行う方法論だといえます。

IEMの3つの段階

IEMもまた、以下の3つの段階で構成されています。

• Pre-Evaluation（事前評価）：IAMのPre-Assessment文書を入力として受け取り、対象システムへの技術的評価を実行するための交戦規則を調整します。この段階は、技術評価計画（Technical Evaluation Plan）の策定をもって完了します。
• On-Site（オンサイト）：ハンズオンによる技術作業の中核部分であり、多様な探索、スキャン、評価を実施します。すべての所見は、有効性を担保するために手作業で検証されます。
• Post-Evaluation（事後評価）：IAMと同様の流れで方法論を完結させます。生成されたすべてのデータを収集し、所見、改善提案、そして今後のセキュリティロードマップを詳細に記載した最終文書へとまとめ上げます。

Security Incident Policy Enforcement System（SIPES）とは

Security Incident Policy Enforcement System（SIPES）は、セキュリティインシデントポリシー施行システムを定義し、実装するための方法論を提供することを目的としています。この方法論は、網羅性（完全性）を重視して設計されています。

SIPESの草案では、インシデント対応管理の複雑さに対処するための、比較的抽象度の高いアプローチが示されています。具体的には、まず内部ITシステムにおける「障害（フォールト）」の定義を整理・明確化したうえで、「ステートフル（状態保持型）」な方法論を構築していくという流れになっています。

まとめ

情報システムセキュリティの方法論には、文書ベースで潜在的な脆弱性を洗い出すIAM、ハンズオンで実際の脆弱性を検証するIEM、そしてインシデント対応のポリシー運用を体系化するSIPESがあります。

これらの方法論は相互に補完関係にあり、組織のセキュリティレベルや目的に応じて適切に組み合わせて活用することが、効果的なセキュリティ対策の鍵となります。