情報セキュリティの主要フレームワークとは？ISO 27001・COBIT・SSE-CMMを解説

フレームワークとモデルの違い

ソフトウェア開発において、フレームワークとは、別のソフトウェアプロジェクトを管理・開発するために定義された仕組みのことを指します。この定義からも分かるように、フレームワークはモデルよりも具体的な分析や構築のための指針を提供するものです。

モデルが抽象的で目に見えない存在であるのに対し、フレームワークは実行可能な作業と結びついています。さらに、フレームワークは直接の実装につながる前提条件やプラクティスを規定します。一方、モデルは目標や成果を達成するための一般的な方向性を示すものですが、実際の手法や措置といった細部までは踏み込みません。

つまりフレームワークとは、前提、概念、価値観、プラクティスを記述し、それ自体の実行に関するガイダンスを含む基本的な構造です。以下に紹介するアプローチは、特定の個別タスクの詳細には立ち入らず、成果の達成に向けた一般的な指針を提供するものとして位置づけられており、それぞれ「フレームワーク」として定義されています。

ISO 27001（ISMS認証基準）

ISO 27001規格は2005年10月に発行され、旧BS7799-2規格に代わるものとして登場しました。これはISMS（Information Security Management System：情報セキュリティマネジメントシステム）に関する規格です。BS7799は長い歴史を持つ規格で、1990年代に実践規範（Code of Practice）として最初に発行されました。その後の発展の過程で、マネジメントシステムを扱う第二部が登場し、文書化の要件はこの部分に基づいて定められています。

その目的は、組織全体のビジネスリスクという文脈の中で、文書化されたISMSの確立、実装、運用、監視、レビュー、維持および改善のための要件を明確にすることにあります。

COBIT

COBITフレームワークは、ビジネスプロセスサービスの提供を統制するためのツールを、ビジネスプロセスオーナーに提供します。COBITはIT中心のフレームワークであり、ユーザー、企業、監査人に対して、IT統制の設計、実行、テストを行うための標準的なアプローチを提供することを目的としています。このフレームワークは大手監査法人によって作成・採用されており、多くのIT監査、コンプライアンス、統制上の課題に対するソリューションとなっています。

SSE-CMM

SSE-CMM（Systems Security Engineering Capability Maturity Model）は、プロセス参照モデルとして表されます。データを扱う単一のシステム、あるいは相互接続された一連のシステムにおいて、セキュリティを実装するための要件に焦点を当てたものです。

SSE-CMMは、組織内でセキュリティエンジニアリングを実践するためのフレームワークであり、可能であれば他の業界向けCMMと併せて活用することが推奨されます。SSE-CMMは、他のCMMと同様にデミングの業績をベースに構築されており、プロセスの定義と改善を中核的な価値として掲げています。

SSE-CMMは複雑ではありますが、十分に検証された構造であり、エンジニアリング指向の組織への導入に適しています。製品開発などを通じてエンジニアリングを実践している組織であれば、SSE-CMMを他のCMMと組み合わせて活用することで、大きな価値が得られるでしょう。