投稿者: QCプラネッツ
-
ISO27001 2022 ISMS内部監査員 養成問題集を販売します。
★ 本記事のテーマ
ISO27001 2022 ISMS内部監査員 育成問題集を販売します
ISMS,ISO27001 2022 内部監査員育成問題集によって
★内部監査力
★外部審査力
★外部審査の対応力(事務局)
★組織のISMS構築力
向上につなげることができます！- ①この問題集が選ばれる理由
- ➁この教材で得られるスキル
- ③こんな方におすすめ
- ④教材の一部を公開（サンプル）
- ⑤よくある質問（FAQ）
- ⑥ご購入方法
①この問題集が選ばれる理由
ISMS内部監査員の育成は
「わかりやすい教材がない」
「実務に落とし込めない」
という悩みがつきものです。本問題集は、そんな現場の声から生まれた“実務直結型”の教材です。
- 実在しそうな組織をモデル化し、監査の流れを疑似体験できる！
- 要求事項 → 監査 → 改善提案まで一気通貫で学べる！
- 規程類一式付きで、実務のイメージがつかみやすい！
- 1万円で、審査機関講習レベルの学習が可能！
「内部監査の観点が整理できた」
「翌週の監査でそのまま使えた」など、
実務者から高い評価をいただいています。②この教材で得られるスキル
本問題集を終えると、次のような“実務で使える力”が身につきます。
- 監査チェックリストを自力で作成できる！
- 不適合の根拠を説明できるようになる！
- 改善提案の質が上がる！
- ISO27001:2022の要求事項を“運用レベル”で理解できる！
- 監査の流れを一人で回せるようになる！
単なる知識ではなく、現場で即使える力量が身につく点が最大の特徴です。
③こんな方におすすめ
本問題集を是非解いてほしい方は、
- 新任のISMS担当者！
- 内部監査員を短期間で育成したい管理者！
- ISO27001更新審査が近い企業！
- 監査経験が浅く、何を見ればいいか不安な方！
- 実務に近い教材で学びたい方！
「どの教材を買えばいいかわからない」という方にこそ、最適な内容です。④教材の一部を公開（サンプル）
本問題集の一部を公開します。
【はじめに】
本問題集で扱う組織において、ＩＳＭＳ，ＩＳＯの観点でこの組織をチェックしましょう。【１】組織の概要・ビジネス
本問題集で扱う舞台（組織）の概要は以下の通りです。
社名： ＺＺ社
–
（１） 組織の概要・ビジネス
① 業務：企業の経理代行業務
② 基本記帳業務、
③ 売上・請求・入金のシステム管理
④ 給与・労務関連の会計処理を顧客企業の業務を代行
⑤ ２顧客（社、Ｙ社）業務を担当
⑥ 一部の業務を零細企業に発注
⑦ オフィス：ビルの１室
⑧ 社員：９名
・社長１名
・事務２名、
・Ｘ社担当３名（部長，主任，担当）
・Ｙ社担当３名（部長，主任，担当）
⑨ 業務体系：ハイブリッドワークを許可
⑩ ＩＳＯ２７００１取得のきっかけ
重要顧客から情報セキュリティ強化の指示を受けて、ＩＳＭＳを構築し
ＩＳＯ２７００１取得へ。
–
（２）．ＩＳＯ２７００１適用範囲
経理代行業務組織のフロア図
組織図
第１章 ＩＳＯ２７００１ ２０２２要求事項を用いて事前チェックを作成
【問１－１】
ＺＺ社のＩＳＭＳにおける「内部の課題」、「外部の課題」は何か？
それぞれ多面的に列挙せよ。【問１－２】
ＺＺ社はＩＳＭＳの「情報セキュリティポリシー」が必要になる。あなたがトップマネジメントとして「情報セキュリティポリシー」案を作成せよ。・・・（略）・・・
第１章【問１―１】～【問１―８】の解答ができましたら、
●提出メールの依頼事
題名に【ＩＳＭＳ内部監査・外部審査演習 第１章解答】として送付ください。
●提出先： 【QCプラネッツの送付先】
–
ある一定の解答の質があると認めた場合、
ＱＣプラネッツから解説ブログページとパスワードを送付します。第３章 ＩＳＭＳ内部監査の実践演習
第３章では、実際のＺＺ社のＩＳＭＳを見て、監査していきましょう。
ＺＺ社のＩＳＭＳの規程類（下表）をチェックしてください。規程類一覧
【問３－１】
問２－１で作成した「質疑チェックリスト」をもとに、
ＺＺ社のＩＳＭＳにおける「内部監査」を自主的に実行し、その監査結果をまとめよ。以上、問題集のサンプルを紹介しました。
⑤よくある質問（FAQ）
Q. 初心者でも理解できますか？
A. はい。章ごとに提出形式で進むため、段階的に理解できます。
問題集は第１章から第5章があり、
第１章から第４章の演習解説ブログ(パスワード付き)があります。–
Q. どれくらいの時間で終わりますか?
A. 2日1章ペースで進めれば、約1～2週間で内部監査員として必要な基礎力が身につきます。
一度だけでなく定期的に復習いただくとさらに学習効果が高まります。–
Q. 組織の規模に関係なく使えますか？
A. はい。小規模〜中規模組織をモデルにしているため、どの企業でも応用できます。–
Q. 問題集の構成について教えてください？
A. はい。
具体的には下表のとおりです。- 問題編
- 規程類一式
- 解説ブログ（パスワード制限）
–
Q. 問題集のアクセスについて教えてください？
A. はい。情報セキュリティ上、基本アクセスのみとさせていただきますので、ご了承ください。
具体的には下表のとおりです。ケース ブログ購入 note購入 メルカリ購入 問題編 アクセスのみ アクセスのみ 印刷して送付 規程類一式 アクセスのみ アクセスのみ アクセスのみ 解答提出 QCプラネッツに提出 QCプラネッツに提出 QCプラネッツに提出 解説ブログ パスワード制限あり パスワード制限あり パスワード制限あり ⑥ご購入方法
10,000円/1冊
とさせていただきます。ご購入よろしくお願いいたします。本問題集は
★問題編
★規程類一式
★解説ブログ（パスワード制限）
セットです。(1) 本ブログからのご購入
ご購入いただけます。ご購入後、ＱＣプラネッツからアクセスサイト先（アクセスのみ可）をご案内いたします。データの拡散を防ぐため、ダウンロードと印刷は不可とさせていただきます。
メルカリでの販売
「QCプラネッツ」で検索ください。
noteでの販売(近日公開)
電子販売もしています。こちらへアクセスください。
noteからでもご購入できます！ まとめ
「ISO27001 2022 ISMS内部監査員 育成問題集を販売します」、ご購入よろしくお願いいたします。
- ①この問題集が選ばれる理由
- ➁この教材で得られるスキル
- ③こんな方におすすめ
- ④教材の一部を公開（サンプル）
- ⑤よくある質問（FAQ）
- ⑥ご購入方法
ISMS,ISO27001 内部監査員に必要な力量がわかる
★ 本記事のテーマ
監査員教育と監査実施経験から
ISOマネジメントシステム７
で十分です。
あった方がよい程度
「意外だ」と思うでしょう。
必要な力量を
わかりやすく解説します。
- ①必要な力量
- ②情報セキュリティの専門性より抽象力が大事
- ③情報セキュリティチェックは組織全員で守り抜けることを見るべき
- ④ISMS ISO27001 内部監査員になるために必要な参考書
①必要な力量
監査員に求められる力量の通例
実際に、ISMS監査員やISO27001審査官は
ソフトウェア開発を長年やってきたプロが転身する
ケースがほとんどです。
なので、
情報セキュリティの専門性が高い方がよいと思われがちですが、
監査員に必要な力量はそうでもないです。
大事なのは
情報セキュリティが組織で本当に機能しているかが大事。
なので、マネジメントシステムの方に重みがある。
QCプラネッツの経験では、下図のように、
ISOマネジメントシステム７
で十分です。
②情報セキュリティの専門性より抽象力が大事
当然、情報セキュリティの基礎は必須
ここで注意なのは、
最低限の知識や理解は必要です。
ISOだけやっていればいいわけではありません。
情報セキュリティの勉強が必要です。
言いたいのは、
ISMS,ISO27001に携われないと
自らハードルを上げる必要は無い！
と言うことです。
QCプラネッツの経験上、
ハードウェア寄りの思考である人と
ソフトウェア寄りの思考である人が
います。
前者が不利なように見えますが、
ソフトウェア思考に翻弄される必要はありません。
【チェックください！】知っておくべき情報セキュリティのレベル
では、ISMS,ISO27001監査に求められる
情報セキュリティの専門性の高さをチェックします。
どれくらいわかるか？確認しましょう！
数問程度ですが、サンプルチェックとします。
★情報セキュリティの専門性チェック
- 「CIA」とは？
- 「http」と「https」の違いは？
- 「マルウェア攻撃」とは？
- 「ゼロディ攻撃」とは？ 防御方法は？
- 「VPN」とは？あった方がよい理由とは？
- 「ウェブフィルタリング」とは？あった方がよい理由とは？
- などなど
いかがでしょうか？
難しいでしょうか？
正直
そうです！その通りです！
その周辺が理解できればOK！
後で紹介しますが、
対策の教科書１冊を手元にあればよい。
で構いません。
ISMS,ISO27001に携われないと
自らハードルを上げる必要は無い！
情報セキュリティの専門性は低くてよいようなイメージを与えるかもしれませんが、次の点はしっかりと作りこむ必要があります。
【重要】用語よりその意味を理解する
一言でいえば、
情報セキュリティの求められている「目的」をしっかりとらえろ！
が大事です。
それに対する対処方法
についての用語がたくさんあります。
でも、
と考え、
「統体」していく思考を持ってください。
リスクアセスメントを総合的にみてもよいですが、下図のようにシンプルに集約できます。シンプルになるように統体して考え抜きました。
そして、
例えば、
監査員としてどう答えるべきか？
★ ×な回答
ＶＰＮとはVirtual Private Networkの事です。
（相手は混乱するし、だから何なの？です。）
★○な解答
インターネットに入ると外の不審者が侵入してくるリスクがあります。なので、自分たちだけの空間の中だけネットできるようにして、外部侵入を防ぐものです。
（わかりやすいし、相手がどう防御すべきかも理解できる。）
丸暗記ではなく、目的を理解し、
自分なりに層別することが大事です。
これができれば、専門用語はそれほど怖くありません。
【一番重要】組織全体がセキュリティ対応できる仕組・運用ができているかの方がよっぽど大事
あなたの情報セキュリティの専門性より、
相手の組織が情報セキュリティ向上につながることの方が
もっと大事！
ですよね！
たくさん人がいる組織全体である一定以上の
セキュリティを担保させなければいけません。
となると、
求められる情報セキュリティ活動ができているか？
一番脆く、ショボい所が狙われるリスクを
見つけて、処置して、回避できるか？
をしっかり見る力量の方が大事です。
QCプラネッツは
両方見ておいてほしい
と願っています。
マネジメントシステムの基礎であり、理解しやすいISO9001を軸に、
情報セキュリティ寄りなISO27001へ広げていく視野が
組織とって良い監査質疑・評価ができるようになると分かっています。
①でも述べた通りですが、具体的に抽象化する方法を解説します。
【重要】情報セキュリティとは詰まる所、それは何か？
という問いを自問しましょう。これが一番大事！
QCプラネッツは
防犯体制が万全な豪邸で
●どう守るのか？
●逆に、どうやって侵入するか？
を考えていけば、
自ずと手段がわかってくる。
情報セキュリティも防犯も全く考え方は同じ。
●防犯体制が万全な豪邸で、外部侵入が難しいことが容易に想像つきます。だから内部を狙う（内部不正・情報漏洩）
●強い相手を倒すことより、弱くてトロイ者が狙われる。（正面突破より脆さ・騙しで侵入）
シンプルにこれくらいしかありません。
カタカナ用語で、難しいサイバー攻撃と言われると何か怖いイメージがありますが、よく考えるとやること、守ることはそれほどありません。
監査質疑ができるために抽象力は必須
監査で一番神経を使うのが、
です。
専門性を確認しても意味がないし、
組織の情報セキュリティ強化につながる問いでなければ意味がない。
なので、専門知識を自分の言葉で説明ができ、相手にどう動いてもらうかを伝えるところまで、考え抜く必要があります。
③情報セキュリティを組織全員で守り抜くことが一番大変
情報セキュリティに対する組織という相手を知りましょう。
２，６，２の法則
情報セキュリティに限らず、「２，６，２の法則」は一般に成り立ちます。
●６ 面倒くさい、興味がないと無風の人
●２ トロく、何かしでかすかもしれない人
監査質疑対応する側は、
です。
大事なのは、
下の２の人や無風の６の人が情報セキュリティのカモにされやすい!
このあたりを守り切れるか。
です。
組織の情報セキュリティは
どこか１か所でも突かれるとインシデントになってしまいます。
それを気づかせる監査質疑が必要。
やる気がない人や、トロイ部分をどうやって
良くしていけばいいのでしょうか？
監査ポイント
組織全員へ浸透させ、行動に移せているかを監査でみましょう。
●どんな汗をかいているのか？
●組織が動機づけするための苦労があるかどうか？
●組織メンバーが自分事としているのか？
●要求事項の番号にあてはめより、組織が本当に機能しているかをチェックしたい。
そのためには、
相手の組織に近い組織を想定して
情報セキュリティでどんな活動や課題があるかを
想定して監査でみていくこと
情報セキュリティの専門用語や要求事項はその後でもよい。
となるはずです。
④ISMS ISO27001 内部監査員になるために必要な参考書
ここまで読んでいただければ、わかると思います。
- 情報セキュリティマネジメント試験対策用の教科書１冊
- ISO9001 の本1冊
- ISO27001 の本1冊
でOKです。
余力があれば、
IPA(情報処理推進機構)の情報セキュリティ10大脅威20XX年
の事例をチェックし、なぜ発生したかを考える演習をしてください。
最初は、知識や情報を暗記で安心しますが、
監査はその情報から課題抽出・解決を導く思考力が
求められます。
専門用語の正確さも大事ですが、
目的達成に必要な提案力・思考へシフトしていけば、
立派な監査質疑ができるようになります。
頑張りましょう
まとめ
以上、「ISMS,ISO27001 内部監査員に必要な力量がわかる」を解説しました。
- ①必要な力量
- ②情報セキュリティの専門性より抽象力が大事
- ③情報セキュリティチェックは組織全員で守り抜けることを見るべき
- ④ISMS ISO27001 内部監査員になるために必要な参考書
ISMS,ISO27001 組織に必要な規程類がわかる
★ 本記事のテーマ
多くの要求内容を求められる
ISMS,ISO27001ですが、
組織に必要なルールとは
具体的にどんなものかは
あまり知られていません。
組織で必要最低限のルールを解説し
ISMSの構築の仕方をお伝えします。
ルールだらけになり
運用が厳しくなる。
それこそ、サイバーリスクが高まってしまう！
- ①【リンク】組織がゼロからISMS(ISO27001)水準に引き上げる手順がわかる
- ②必要な規程類の概要を解説！
- ③規程類一覧
①【リンク】組織がゼロからISMS(ISO27001)水準に引き上げる手順がわかる
大事なのは
背景を理解することです。
当然、組織の初期の状態は、
情報セキュリティは気持ちはあっても、ルール等は未整備です。
その組織にいろいろな苦労を経て
ISMSが構築されていったはずです。
その経緯、流れを理解することが大事です。
関連ブログ記事にて、確認ください。
 |
【リンク】【重要】組織がゼロからISMS(ISO27001)水準に引き上げる手順がわかる どんな背景・理由を経て、ISMSを構築していったのか？をわかりやすく解説します。 |
②必要な規程類の概要を解説！
リンクの解説記事のとおり、
必要な規程類がいくつかあります。
その規程類の種類、目的、必要な要求事項を下表にまとめます。
ISMS運営に何が必要かを
具体的にイメージすることができます。
ここまで具体的に紹介する記事が
意外とないので、
QCプラネッツから紹介します。
③ 規程類一覧
個別に見ていきます。
(1)情報セキュリティーポリシー
★目的
★必要な要求事項
・法令・規制・契約の遵守
・情報セキュリティ管理体制
・リスク管理
・教育・訓練
・インシデント対応
・継続的改善
・方針(情報セキュリティポリシー)の公開
(2)ISMSマニュアル
★目的
★必要な要求事項
・引用規程(ISO27001)
・組織内の用語・定義
・組織内規程類とISO27001要求事項との関係
・組織体制(体制図、ネットワーク図、フロアーズ、緊急体制図)
(3)情報セキュリティ運営管理規程
★目的
★必要な要求事項
・コミュニケーション(情報セキュリティ会議)
・組織間の協力(社内外）
・外部委託契約におけるセキュリティ要求事項
・情報セキュリティマネジメントシステム目標・計画・実行
・マネジメントレビュー
・文書管理（文書管理規程としてもよい）
(4)リスクマネジメント管理規程
★目的
★必要な要求事項
・情報資産の分類・評価
・リスクアセスメント評価・運用
・リスク低減施策・運用
(5)適合性管理規程
★目的
★必要な要求事項
・知的所有権を遵守するための実施事項
・ライセンス管理
(6)システムの開発および保守管理規程
★目的
★必要な要求事項
・技術的脆弱性の管理
・構成管理
・データマスキング
・データ漏洩防止
・情報のバックアップ
・ログ・監視・保護
・ネットワーク管理
・ウェブフィルタリング
・暗号管理
・開発環境管理
(7)事業継続管理規程
★目的
★必要な要求事項
・インシデントからの復旧目標
・インシデント対応手順
・平時の維持管理
・リスクアセスメントの実施と評価
・事業継続計画テストの運用・評価
(8)アクセス管理規程
★目的
★必要な要求事項
・特権的アクセス権の管理
・モバイル機器の方針
・リモートワーク
・供給者関係
(9)物理的・環境的管理規程
★目的
★必要な要求事項
・物理的入退
・装置のセキュリティ・保守
(10)人的セキュリティ管理規程
★目的
★必要な要求事項
・教育・力量
・懲戒
・情報削除
(11)内部監査管理規程
★目的
★必要な要求事項
・監査計画
・監査実施手順・結果報告
・是正処置
(12)外部審査管理規程
★目的
★必要な要求事項
・審査の実施
・審査結果と処置
(13)是正処置管理規程
★目的
★必要な要求事項
・処置手順
・処置の有効性評価
(14)セキュリティ事件・事故管理規程
★目的
★必要な要求事項
・情報セキュリティインシデントを想定
・事故発生時の報告指示体制
・事業継続管理
・懲戒手続き
・再発防止対応
いかがでしょうか。
１つずつ見ていけば、
項目だけでも、
あなたの組織でやるべきことが
具体的に見えるはずです。
組織にISMSの必要性
ISMSで何をしたいか?
をしっかり構想することが大事です。
まとめ
以上、「ISMS,ISO27001 組織に必要な規程類がわかる」を解説しました。
- ①【リンク】組織がゼロからISMS(ISO27001)水準に引き上げる手順がわかる
- ②必要な規程類の概要を解説！
- ③規程類一覧
【重要】組織がゼロからISMS(ISO27001)水準に引き上げる手順がわかる
★ 本記事のテーマ
多くの要求内容を求められる
ISMS,ISO27001ですが、
どの組織も最初から細かくルールを
構築・運用しているわけではありません。
組織で必要最低限のルール運用から
ISMS,ISO27001要求レベルまでの上げ方を
解説します。
少しずつ上げていかないと
組織が追い付かないことを
意識しましょう。
- ①【リンク】ISMS,ISO27001 運用する組織に必要な規程が何かがわかる
- ②ISMS化する前の組織の状態
- ③ISMS化するステップを解説！
①【リンク】ISMS,ISO27001 運用する組織に必要な規程が何かがわかる
まず、ゴールである、
ISMS,ISO27001 運用する組織に
必要な規程一覧を
紹介します。
関連ブログ記事にて、確認ください。
 |
【ISMS,ISO27001 運用する組織に必要な規程が何かがわかる】リンク 情報セキュリティは煩雑な運用になりがちなため、必要最低限にするコツが大事！ |
規程類一覧
リンクのとおり、
情報セキュリティは品質管理より要求事項が多いため、
必要最低限の規程類でまとめることが大事です。
その一覧は
| No | ISMS | 目的 |
| 1 | 情報セキュリティーポリシー | 経営陣からの情報セキュリティに対する宣言 |
| 2 | 情報セキュリティ運営管理規程 | ISMS体制・責任を定めたもの |
| 3 | 文書化した情報の管理 | 文書管理方法 |
| 4 | ISMSマニュアルの発行・管理 | 規程類以外で、必要な定義をまとめたもの |
| 5 | セキュリティ事件・事故管理規程 | インシデント発生時の対応方法 |
| 6 | 人的セキュリティ管理規程 | 力量向上に必要な要求事項 |
| 7 | 是正処置管理規程 | 不適合、インシデント発生後の処置方法 |
| 8 | 内部監査管理規程 | 内部監査運用 |
| 9 | 外部審査管理規程 | 外部審査運用 |
| 10 | 事業継続管理規程 | 不慮の災害・事故に対する被害を最小化するルール |
| 11 | アクセス管理規程 | アクセス管理方法 |
| 12 | 物理的・環境的管理規程 | 業務フロアー内のルール |
| 13 | リスクマネジメント管理規程 | リスクへの対応方法 |
| 14 | 法規制管理 | 情報セキュリティ法規制関連 |
運用に必要な規程類・マニュアルの詳細を紹介
上の表にて、
・それぞれの規程類の目的
・規程類以外にISMSマニュアルを追加
を加えます。
それを下表でまとめます。
| 行 | 番号 | 文書一覧 |
| 1 | (1) | 情報セキュリティーポリシー |
| 2 | (2) | ISMSマニュアル |
| 3 | 1 | 適用範囲関連資料(1.組織図) |
| 4 | 2 | 適用範囲関連資料(2.周辺地図・ビル全体図・フロア図) |
| 5 | 3 | 適用範囲関連資料(3.ネットワーク図) |
| 6 | 4 | 適用範囲関連資料(4.ISMS推進体制図&緊急連絡体制図) |
| 7 | (3) | 情報セキュリティ運営管理規程 |
| 8 | 1 | 年間情報セキュリティ目標 |
| 9 | 2 | 情報セキュリティ委員会録 |
| 10 | 3 | プロジェクト会議録 |
| 11 | 4 | 稟議書 |
| 12 | 5 | 外部委託における契約書,SLA |
| 13 | 6 | マネジメントレビュー報告書 |
| 14 | 7 | マネジメントレビュー議事録 |
| 15 | 8 | 文書管理台帳 |
| 16 | (4) | リスクマネジメント管理規程 |
| 17 | 1 | 情報資産台帳 |
| 18 | 2 | 重要資産持ち出し管理台帳 |
| 19 | 3 | リスクアセスメント表 |
| 20 | (5) | 適合性管理規程 |
| 21 | 1 | 法規制管理台帳 |
| 22 | 2 | ライセンス管理台帳 |
| 23 | (6) | システムの開発および保守管理規程 |
| 24 | 1 | ブロックリスト |
| 25 | (7) | 事業継続管理規程 |
| 26 | 1 | 訓練記録 |
| 27 | 2 | バックアップ確認表 |
| 28 | 3 | 復旧手順書 |
| 29 | 4 | 事業継続計画テスト結果記録 |
| 30 | (8) | アクセス管理規程 |
| 31 | 1 | アカウント管理台帳 |
| 32 | 2 | アカウント申請書 |
| 33 | 3 | 誓約書 |
| 34 | 4 | リモートワーク許可申請書 |
| 35 | 5 | 情報セキュリティー供給者レビューチェックリスト |
| 36 | (9) | 物理的・環境的管理規程 |
| 37 | 1 | 入退室管理台帳 |
| 38 | 2 | 来訪者入退室管理台帳 |
| 39 | 3 | 作業報告書 |
| 40 | 4 | 情報資産台帳廃棄管理台帳 |
| 41 | (10) | 人的セキュリティ管理規程 |
| 42 | 1 | 力量管理表 |
| 43 | 2 | 力量認定要件表 |
| 44 | 3 | 教育・研修アンケート |
| 45 | 4 | 教育・研修受講記録管理台帳 |
| 46 | (11) | 内部監査管理規程 |
| 47 | 1 | 内部監査員リスト |
| 48 | 2 | 内部監査計画書 |
| 49 | 3 | 内部監査結果 |
| 50 | 4 | 内部監査報告書 |
| 51 | (12) | 外部審査管理規程 |
| 52 | 1 | 改善機会一覧表 |
| 53 | (13) | 是正処置管理規程 |
| 54 | 1 | 是正処置要求・報告書 |
| 55 | (14) | セキュリティ事件・事故管理規程 |
| 56 | 1 | セキュリティ事件・事故報告書 |
必要最低限なものまで絞りましたが、それでもかなりの文書が必要だとわかりますね。
②ISMS化する前の組織の状態
どの組織でも、最初からISMS,ISO27001には対応していません。
情報に対するルールや運用方法がある程度でしょう。
ISMS化する前の組織運用
自分たちなりに必要なルールや運用方法はどんなものかを列挙しましょう。
| 行 | 番号 | 文書一覧 |
| 3 | 1 | 適用範囲関連資料(1.組織図) |
| 4 | 2 | 適用範囲関連資料(2.周辺地図・ビル全体図・フロア図) |
| 5 | 3 | 適用範囲関連資料(3.ネットワーク図) |
| 10 | 3 | プロジェクト会議録 |
| 11 | 4 | 稟議書 |
| 31 | 1 | アカウント管理台帳 |
| 32 | 2 | アカウント申請書 |
ぐらいでしょう。
組織に関する基本情報、会議録、アカウント設定くらいがある程度でしょう。
ISMS,ISO27001レベルに必要な
規程類・文書を構築していきましょう。
③ISMS化するステップを解説！
大事なことは、
不確定要素(リスク)が全くなければ、
何もしなくていい。
でも、
逆に、情報セキュリティへのアピールによる高評価を得たい
などを受け、
ISMS,ISO27001レベルに
上がっていくわけです。
これから、１例として4つステップで
組織が情報セキュリティへの取り組み強化する
様子を解説します。
- 【ステップ1】情報セキュリティトラブルが起きてしまった。
- 【ステップ2】トラブルが頻発するようになった。
- 【ステップ3】顧客、ビジネスパートナーへのリスク回避必須となった
- 【ステップ4】ISMS構築、ISO27001取得が必須となった。
1つずつ見てきましょう。
【ステップ1】情報セキュリティトラブルが起きてしまった。
気持ちとしては、本来はやりたくない業務です。
しかし、そんな組織にトラブルが発生することで
仕方がなく、対策を取り始めるのが現実
です。
意外と思うかもしれませんが
身近で地味なミスが始まる！
だけど、
それを放置しておくと
致命傷になりうるトラブルに
発展します。
品質、環境などの管理系において、だいたい当てはまります。
具体的には、
- フィッシングメール・マルウェア添付ファイル
- メール誤送信・添付ミスによる情報漏えい
- パスワード使い回し・弱い認証による不正ログイン
- ランサムウェアによる業務停止（バックアップ不備）
- ノートPC・USBメモリ・紙資料の紛失・盗難
このような攻撃を受けて、被害に遭って初めて
対策を投じることになります。
★対策
ちょっとしたルール化や
ルールを運用するための文書・帳票が
登場するようになります。
| 行 | 番号 | 文書一覧 |
| 3 | 1 | 適用範囲関連資料(1.組織図) |
| 4 | 2 | 適用範囲関連資料(2.周辺地図・ビル全体図・フロア図) |
| 5 | 3 | 適用範囲関連資料(3.ネットワーク図) |
| 6 | 4 | 適用範囲関連資料(4.ISMS推進体制図&緊急連絡体制図) |
| 10 | 3 | プロジェクト会議録 |
| 11 | 4 | 稟議書 |
| 27 | 2 | バックアップ確認表 |
| 28 | 3 | 復旧手順書 |
| 31 | 1 | アカウント管理台帳 |
| 32 | 2 | アカウント申請書 |
| 55 | (14) | セキュリティ事件・事故管理規程 |
| 56 | 1 | セキュリティ事件・事故報告書 |
上表の黄色マーカー部分が追加されるでしょう。
・緊急体制
・バックアップ・復旧
・事故報告書
などの必要最低限のものが追加されることが
イメージできますね。
【ステップ2】トラブルが頻発するようになった。
【ステップ1】で済めばここでEndですが、
最初は軽視していても、
さすがにまずい！となり、
目先のトラブル回避だけでなく
ルール運営が必要となります。
ルール運営化するために、
規程がいくつか増えます。
表で追加部分を見てみましょう。
| 行 | 番号 | 文書一覧 |
| 3 | 1 | 適用範囲関連資料(1.組織図) |
| 4 | 2 | 適用範囲関連資料(2.周辺地図・ビル全体図・フロア図) |
| 5 | 3 | 適用範囲関連資料(3.ネットワーク図) |
| 6 | 4 | 適用範囲関連資料(4.ISMS推進体制図&緊急連絡体制図) |
| 7 | (3) | 情報セキュリティ運営管理規程 |
| 9 | 2 | 情報セキュリティ委員会録 |
| 10 | 3 | プロジェクト会議録 |
| 11 | 4 | 稟議書 |
| 12 | 5 | 外部委託における契約書,SLA |
| 16 | (4) | リスクマネジメント管理規程 |
| 17 | 1 | 情報資産台帳 |
| 18 | 2 | 重要資産持ち出し管理台帳 |
| 25 | (7) | 事業継続管理規程 |
| 27 | 2 | バックアップ確認表 |
| 28 | 3 | 復旧手順書 |
| 30 | (8) | アクセス管理規程 |
| 31 | 1 | アカウント管理台帳 |
| 32 | 2 | アカウント申請書 |
| 36 | (9) | 物理的・環境的管理規程 |
| 37 | 1 | 入退室管理台帳 |
| 38 | 2 | 来訪者入退室管理台帳 |
| 39 | 3 | 作業報告書 |
| 40 | 4 | 情報資産台帳廃棄管理台帳 |
| 41 | (10) | 人的セキュリティ管理規程 |
| 42 | 1 | 力量管理表 |
| 44 | 3 | 教育・研修アンケート |
| 55 | (14) | セキュリティ事件・事故管理規程 |
| 56 | 1 | セキュリティ事件・事故報告書 |
いかがでしょうか。
上表からいくつか規程が登場しています。
- 情報セキュリティ運営管理規程
- リスクマネジメント管理規程
- 事業継続管理規程
- アクセス管理規程
- 物理的・環境的管理規程
- 人的セキュリティ管理規程
情報セキュリティ対策を
組織で運用するために、
ルール整備が整ってきます。
【ステップ3】顧客、ビジネスパートナーへのリスク回避必須となった。
【ステップ2】でも十分かと思いますが、
それなりにセキュリティレベルが上がったとはいえ、
内外の環境状況をみて、
が必要と感じるでしょう。
ルールができたとはいえ、形骸化するのは時間の問題でもあり、
有効に機能させるための組織化が必要となります。
表で追加部分を見てみましょう。
| 行 | 番号 | 文書一覧 |
| 1 | (1) | 情報セキュリティーポリシー |
| 3 | 1 | 適用範囲関連資料(1.組織図) |
| 4 | 2 | 適用範囲関連資料(2.周辺地図・ビル全体図・フロア図) |
| 5 | 3 | 適用範囲関連資料(3.ネットワーク図) |
| 6 | 4 | 適用範囲関連資料(4.ISMS推進体制図&緊急連絡体制図) |
| 7 | (3) | 情報セキュリティ運営管理規程 |
| 8 | 1 | 年間情報セキュリティ目標 |
| 9 | 2 | 情報セキュリティ委員会録 |
| 10 | 3 | プロジェクト会議録 |
| 11 | 4 | 稟議書 |
| 12 | 5 | 外部委託における契約書,SLA |
| 15 | 8 | 文書管理台帳 |
| 16 | (4) | リスクマネジメント管理規程 |
| 17 | 1 | 情報資産台帳 |
| 18 | 2 | 重要資産持ち出し管理台帳 |
| 20 | (5) | 適合性管理規程 |
| 21 | 1 | 法規制管理台帳 |
| 22 | 2 | ライセンス管理台帳 |
| 23 | (6) | システムの開発および保守管理規程 |
| 24 | 1 | ブロックリスト |
| 25 | (7) | 事業継続管理規程 |
| 26 | 1 | 訓練記録 |
| 27 | 2 | バックアップ確認表 |
| 28 | 3 | 復旧手順書 |
| 29 | 4 | 事業継続計画テスト結果記録 |
| 30 | (8) | アクセス管理規程 |
| 31 | 1 | アカウント管理台帳 |
| 32 | 2 | アカウント申請書 |
| 33 | 3 | 誓約書 |
| 34 | 4 | リモートワーク許可申請書 |
| 36 | (9) | 物理的・環境的管理規程 |
| 37 | 1 | 入退室管理台帳 |
| 38 | 2 | 来訪者入退室管理台帳 |
| 39 | 3 | 作業報告書 |
| 40 | 4 | 情報資産台帳廃棄管理台帳 |
| 41 | (10) | 人的セキュリティ管理規程 |
| 42 | 1 | 力量管理表 |
| 44 | 3 | 教育・研修アンケート |
| 45 | 4 | 教育・研修受講記録管理台帳 |
| 53 | (13) | 是正処置管理規程 |
| 54 | 1 | 是正処置要求・報告書 |
| 55 | (14) | セキュリティ事件・事故管理規程 |
| 56 | 1 | セキュリティ事件・事故報告書 |
上表からわかるように、組織化によって、
下の項目が追加されました。
- 情報セキュリティーポリシー
- 年間情報セキュリティ目標
- 適合性管理規程
- 法規制管理台帳
- ライセンス管理台帳
- システムの開発および保守管理規程
- 事業継続計画テスト結果記録
- 誓約書
情報セキュリティ対策を
組織で運用するために、
ルール整備が整ってきます。
【ステップ4】ISMS構築、ISO27001取得が必須となった。
【ステップ3】レベルまで組織運用できていれば、
となるでしょう。
あとは、
具体的には、
- ISMSマニュアル
- マネジメントレビュー
- リスクアセスメント
- 情報セキュリティー供給者レビュー
- 内部監査
- 外部審査
が追加されます。
すでに、組織でISMS運用が機能されているので、
追加対応はそれほど大変でもないでしょう。
全ステップのまとめ
【ステップ0】から【ステップ4】までの変化を図でまとめます。
本記事のやり方が絶対ではなく、
組織によって、若干の味付けの違いはあるでしょう。
ただ、いきなり、
ISMS,ISO27001要求レベル
へ組織をもっていくのは、
無理なので、
１つずつステップを刻む必要があります。
まとめ
以上、「【重要】組織がゼロからISMS(ISO27001)水準に引き上げる手順がわかる」を解説しました。
- ①【リンク】ISMS,ISO27001 運用する組織に必要な規程が何かがわかる
- ②ISMS化する前の組織の状態
- ③ISMS化するステップを解説！
「平方和」「データの構造式」ＱＣの数学を究めるための問題集
★ 本記事のテーマ
- ①QC(品質管理)の数学で困っていませんか？
- ➁問題集のメリット
- ➂内容の範囲
- ➃【問題集ご購入方法】
回帰分析、
多変量解析、
ロバストパラメータ設計など
たくさんの分析手法に苦戦していませんか？
全ての手法の本質や手法間の比較ができ、
QCに必要な数学が早く・楽にマスターできます。
①ＱＣ検定®と品質管理検定®は、一般財団法人日本規格協会の登録商標です。
➁このコンテンツは、一般財団法人日本規格協会の承認や推奨、その他の検討を受けたものではありません。
➂ＱＣプラネッツは、ＱＣ検定®と品質管理検定®の商標使用許可を受けています。
●リンクページ
①QC(品質管理)の数学で困っていませんか？
QC(品質管理)は数学で勝負だが大変！
品質管理、データ分析、QC検定®には
高校数学、大学数学の
高等な数学が求められます。
でも、
- そもそも数学が苦手
- 公式が多すぎて覚えきれない・使いこなせない
- 実験計画法、回帰分析、多変量解析、ロバストパラメータ設計、…と範囲が広すぎ
と困ることばかりです。
なので、ＱＣプラネッツは
とし、本問題集を作成しました。
実は、「平方和」、「データの構造式」さえわかれば、ＱＣ数学はマスターできる！
実験計画法、
回帰分析、
多変量解析、
ロバストパラメータ設計、
…
とさまざまな範囲がありますが、
すべてマスターした後、俯瞰してみると、
なのです。
「平方和」、「データの構造式」で乗り切ってほしい所
一方、「平方和」、「データの構造式」は難所があり、これを乗り越える必要があります。
- 平方和（２乗和）の計算
- 数列の展開
- 数列Σを使った平方和の分解
- 中間積和項＝０の導出
なので、この難所を乗り越える演習を最初に行い、
その難所を乗り越えたメリットを各単元の演習問題を通じて
マスターしていただく問題集を今回作りました。
➁問題集のメリット
本問題集を学ぶメリット
結論はシンプルで、
と
です。
逆にデメリットは
- 勉強しないと習得できない
⇒それはしゃーない！ですよね(笑)
是非、ご購入いただきたいです。
次に、全問題の内容を紹介します！
➂内容の範囲
本問題集の全問題を紹介！
【「平方和」「データの構造式」ＱＣの数学を究めるため問題集】
の全49題の問題内容を紹介します！
各手法の関係性を意識して学習しましょう。
つまり、全問題集の表（下表）で、
↔で見るのではなく、
↕の関係性を意識して
学んでください。
★第1章 QC数学を早く極めるための「平方和」
基礎を確認します。
苦手になりがちな
- 数列Σの展開演習（代表例：Σ\((x_i-\bar{x})^2\)
- 中間積和項=0の演習(代表例：Σ\(x_i\bar{x}\)=0の導出)
- 平方和の分解や、直交性の導出
★第2章 QC数学を早く極めるための「データの構造式」
実験計画法、回帰分析、多変量解析、ロバストパラメータ設計に扱う「データの構造式」を作る演習をします。
様々な手法がありますが、「データの構造式」でできていることを実感いただきます。
データの構造式で、例えば、「実験計画法」と「回帰分析」の違いが説明できるようになります。
そうなれば、単元どうしの違いや特徴を自分の言葉で理解できるようになります。これが一番大事！
★第3章 「データの構造式」から有効繰返し数を導出
田口の式、伊奈の式がありますが、覚え方がわかりにくく、間違いやすいです。
でも、「データの構造式」からすべて導出できます。
その秘訣を伝授します。
★第4章 平方和・分散の公式導出
平方和、分散の公式も自力導出できます。
を解いていきましょう！
平方和、データの構造式の特徴や
注意すべきポイント、
他の手法との違いを比較しながら
習得できます。
★第5章 平方和でマスターする実験計画法
★第6章 平方和・データの構造式で理解する回帰分析
★第7章 平方和・データの構造式で理解する多変量解析
★第8章 平方和・データの構造式でロバストパラメータ設計
★第9章 まとめ「平方和とデータの構造式をみれば分析手法に頼らなくても本質がわかる」
全範囲の演習から、「平方和」、「データの構造式」ですべて構成されていることが実感いただけます。
| 章 | 問 | 内容 |
| 1 | 【１】 | 数列式の展開演習1 |
| 1 | 【２】 | 数列式の展開演習2 |
| 1 | 【３】 | 数列式の展開演習3 |
| 1 | 【４】 | 平方和の計算1 |
| 1 | 【５】 | 平方和の計算2 |
| 2 | 【６】 | 2変数におけるデータの構造式 |
| 2 | 【７】 | ３変数におけるデータの構造式 |
| 2 | 【８】 | データの構造式(回帰分析と実験計画法) |
| 2 | 【９】 | 実験計画法とデータの構造式 |
| 3 | 【１０】 | 一元配置実験の有効繰返し数 |
| 3 | 【１１】 | 二元配置実験の有効繰返し数(その1) |
| 3 | 【１２】 | 二元配置実験の有効繰返し数(その2) |
| 3 | 【１３】 | 三元配置実験の有効繰返し数 |
| 3 | 【１４】 | 直交表L16215の有効繰返し数 |
| 4 | 【１５】 | 分散の公式 |
| 4 | 【１６】 | 共分散の公式 |
| 4 | 【１７】 | 分散の加法性の注意点 |
| 5 | 【１８】 | 実験計画法で分散分析とF検定する理由 |
| 5 | 【１９】 | データの構造式の練習 |
| 5 | 【２０】 | 平方和の分解の証明 |
| 5 | 【２１】 | 平方和の分解 |
| 5 | 【２２】 | 繰返しなし３因子配置実験vs直交表(分散分析) |
| 5 | 【２３】 | 繰返しなし３因子配置実験vs乱塊法vs乱塊法+分割法 |
| 5 | 【２４】 | 多元配置実験、分割法、枝分かれ実験の比較(分散分析) |
| 5 | 【２５】 | 直交表の平方和の導出方法 |
| 6 | 【２６】 | 一元配置実験とくりかえしのある単回帰分析 |
| 6 | 【２７】 | 回帰平方和S_Rの平方和 |
| 6 | 【２８】 | 単回帰分析式の導出 |
| 6 | 【２９】 | 平方和の分解 |
| 6 | 【３０】 | 寄与率Rの導出 |
| 6 | 【３１】 | コーシ・シュワルツの不等式と相関係数 |
| 6 | 【３２】 | 回帰分析と実験計画法を比較 |
| 6 | 【３３】 | 繰返しのある単回帰分析の分散分析 |
| 6 | 【３４】 | 重回帰分析の回帰式の導出 |
| 6 | 【３５】 | 重回帰分析における平方和の分解 |
| 6 | 【３６】 | 重回帰分析の寄与率R |
| 7 | 【３７】 | 2次元の主成分分析の導出 |
| 7 | 【３８】 | 主成分分析と回帰分析 |
| 7 | 【３９】 | 主成分方向の平方和と固有値が一致する理由 |
| 7 | 【４０】 | 線形判別関数 |
| 7 | 【４１】 | 因子分析の1因子モデルの導出 |
| 7 | 【４２】 | 因子分析（１因子モデル） |
| 7 | 【４３】 | 多変量解析のまとめ |
| 8 | 【４４】 | ロバストパラメータ設計 |
| 8 | 【４５】 | 全変動と平方和の関係 |
| 8 | 【４６】 | 全変動と平方和の関係 |
| 8 | 【４７】 | ロバストパラメータ設計 |
| 8 | 【４８】 | 動特性は回帰分析と同じ |
| 9 | 【４９】 | まとめ |
上表にて、↕の関係性を意識して
学んでください。
9つの章に分けてしっかり解いていきましょう。
解説も充実!
丁寧な解説ページやQCプラネッツのブログ記事を活用してわかりやすく解けますので、ご安心ください。
是非、ご購入ください。
➃【問題集ご購入方法】
「QCプラネッツ」で検索ください。
(1)本ブログからのご購入
ご購入いただけます。ご購入後、ＱＣプラネッツからアクセスサイト先（アクセスのみ可）をご案内いたします。データの拡散を防ぐため、ダウンロードと印刷は不可とさせていただきます。
(2)メルカリでの販売
「QCプラネッツ」で検索ください。
(3)noteでの販売
電子販売もしています。こちらへアクセスください。
近日公開予定
まとめ
「「平方和」「データの構造式」ＱＣの数学を究めるため問題集を販売します」、ご購入よろしくお願いいたします。
- ①QC(品質管理)の数学で困っていませんか？
- ➁問題集のメリット
- ➂内容の範囲
- ➃【問題集ご購入方法】
ISMSマニュアルの作り方(シンプルがベスト)がわかる
★ 本記事のテーマ
ISOでは必須ではなくなったマネジメントマニュアルですが、
割と提出が求められるものです。
手間をかけないためにも
シンプルであることが最も大事です。
- ①マネジメントシステムのマニュアル
- ②ISMSマニュアルの注意点
- ③ISMSマニュアルをシンプルに作成することが重要
①マネジメントシステムのマニュアル
品質にも、「品質マニュアル」があります。
品質マニュアルの書き方や運用について
ブログ記事を紹介します。
 |
【品質マニュアルがわかる】リンク 書き方、運用のポイントをわかりやすく解説します！ |
元々は最上位の重要文書だった
マネジメントシステムのマニュアルは
元々は最上位文書でした。
ISO要求事項は、文書管理をベースとしていたのが背景です。
現在のマニュアルはオプションの位置
ISO9001 2015以降、マニュアルは
ISOの最上位文書から、
オプションの位置でよいと
暗に伝えています。(明確には書いていませんけど)
その理由は、
文書化した情報
へ変わったからです。
でも、マニュアル提出を要求される場合が割と多いから作成する
じゃー、マニュアルは要らない！のか？
というと、
例えば、
- 監査、審査にむけて、組織のマニュアルを提出要求される。
- 「品質マニュアル」の場合、「公共案件受注」の時に顧客から提出要求される。
- マニュアル整備しておくと、印象がよい。
- 自組織の規程類だけで定義しきれないものがある。
なので、
ただし、手間がかかるのでシンプルにしたいですよね。
よくあるマニュアル構成
いろいろな組織の監査や、
マネジメントシステムの講習演習などで、
マニュアルを見てきました。
ほとんどのマニュアル構成は以下となっています。
自組織の場合を追記する。
品質マニュアルの場合だと40ページくらいになる
手間がかかるがそれなりに仕事している感じになる。
②ISMSマニュアルの注意点
注意点は、
マニュアルにすると大変！
ISO27001では、
30超の要求事項+93管理策
があります。
この文面を写し、
さらに、自組織の場合を追加すると、
一回100ページ超のISMSマニュアルをみたことがありました。
なぜ大変かというと、
- ページ数が多く手間。
- 各内容との整合を合わすのがもっと手間。
- マニュアル整備から承認まで手間。
- マニュアルと自組織の規程や運用との整合を合わせるのも手間。
手間だらけです。
③ISMSマニュアルをシンプルに作成することが重要
なので、
です。
では、どうすればシンプルに作成できるかを解説します！
- ISO要求事項は自組織の規程類に落とし込む。
- ISMSマニュアルは規程類などでもどうしても書けない情報と、ISMSの構築構成のみ書けばよい。
- 提出要求される場合、ISMSマニュアルと自組織の規程類をセットで提出すればよい。
どうでしょうか？
マニュアルの設計図
過去に作ったマニュアルを
急に全く異なる構成なマニュアルに
になる点は慎重にすべきですが、
マニュアルの設計図を提唱します。
★マニュアルの中に、必要なもの
マニュアルの中に、必要なものは、
- 適用範囲
- 適用事業
- 引用するISO27001
- 自組織の用語定義
- 自組織の組織体制
- 規程類一覧、
規程類とISO27001要求事項＋管理策との関係
★マニュアルの外にしたいもの
としたいです。
こうすれば、ISMSマニュアルが20ページ以内に収まり、
規程類の更新の時だけ、個々のISO27001要求事項＋管理策との関係
をチェックすれば効率的な運用ができるからです。
ISMSは大事ですが、煩雑になりやすく
煩雑になると情報セキュリティインシデントの際
身動きがとれなくなります。
そうならないように、シンプルな構成がベストです。
ISOでは必須ではなくなったマネジメントマニュアルですが、
割と提出が求められるものです。
手間をかけないためにも
シンプルであることが最も大事です。
まとめ
以上、「ISMSマニュアルの作り方(シンプルがベスト)」を解説しました。
- ①マネジメントシステムのマニュアル
- ②ISMSマニュアルの注意点
- ③ISMSマニュアルをシンプルに作成することが重要
疑心暗鬼に陥りがちな「情報セキュリティインシデント」（冷静になれ！）
★ 本記事のテーマ
インシデント発生は「恐怖・不安」ですが、
本当ですか？
煩雑な運用である、情報セキュリティだけに、
冷静であることが最も大事です。
- ①情報セキュリティインシデント事例
- ②ありがちな恐怖
- ③その恐怖は本当なの？
- ④恐怖・不安を仰ぐ理由
- ⑤情報セキュリティインシデントの真因を隠す傾向が強い
- ⑥サイバー攻撃する方も実は大変苦労している
- ⑦情報セキュリティインシデント対策でやるべきこと
①情報セキュリティインシデント事例
いくつか事例を挙げます。
- 大病院がサイバー攻撃を受け、医療機能が数カ月麻痺。
- 大企業がサイバー攻撃を受け、受発注が麻痺。
- サイバー攻撃が年々増加。国内では1日数百万回(前年度1.5倍)を記録
どうでしょうか？
とスイカのヘルメットをかぶったバイクのおじさんが来そうです(笑)。
②ありがちな恐怖
「情報セキュリティインシデント」と聞くと、どうでしょうか？
- 情報セキュリティを徹底しているが、いつ外部攻撃されるかわからない恐怖。
- 情報セキュリティ防御力を超える外部攻撃があるかもしれない恐怖。
- インシデントが発生するととんでもない大変な対応に迫られる恐怖。
が伝わってきます！
とスイカのヘルメットをかぶったバイクのおじさんが来そうです(笑)。
③その恐怖は本当なの？
恐怖にかられると、天邪鬼なＱＣプラネッツは
「ホンマにそうなの？」
「しっかり対策を取っていても攻撃でやれらるの？」
「ぶっちゃけインシデント発生した真相はどうなの？」
と疑ってしまいます。
公になっている情報を鵜呑みせず、一旦冷静になりませんか？
④恐怖・不安を仰ぐ理由
このテーマですが、あえて、考えましょう！
恐怖・不安を仰ぐのか？
この意地悪な問いに対して、
理由がなければ、
情報セキュリティインシデントは本当に恐怖だと
思います。
天邪鬼なＱＣプラネッツはこの問をこう考えます。
なぜ恐怖・不安をあおるのか？
いくつか考えてみました。
- 気を付けてほしいから（これはわかる！）
- 不安ビジネスに乗せたい
(「これくらい大丈夫！」と言う情報セキュリティ専門家がいない) - 本当は、ヘボい理由で攻撃くらっただけなのに、
大変さを演出して情報セキュリティの高さを誇張したい
こういう情報ばかりだと、不安になるし、
専門家にすがりたくなります。
でも、それは相手の思う壺かもしれません。
本当に知りたいこと
本当に知りたいのは、
に対して
どの攻撃力でダメージを受けたのか
です。
我々がいつも想像するのは、下図のように、
(1)普段からあるべき防御力があるが、
(2)それを上回る攻撃を受けた。
だから、情報セキュリティインシデントは怖い！
であれば、仕方がないし、納得できます。
しかし、実体はどうでしょうか？
我々がいつも想像するのは、下図のように、
(3)普段からあるべき防御力があるが、
適正な運用がなく、本来の防御力が機能していない。
または、実は防御力そのものが低かった。
だから
他社なら回避できる程度の攻撃でもインシデントになってしまった。
可能性もあるでしょう。
しかし、
実体（本来の実力）を知らない（公表されない）から
名のある企業なら
「情報セキュリティ体制は万全なのにどうして？」
と過大評価することも考えられる。
実情を冷静かつ客観的に見る必要があります。
そのために、「報告書」が公表されています。
しかし、
これは、なぜでしょうか？
⑤情報セキュリティインシデントの真因を隠す傾向が強い
会計、品質、環境、情報セキュリティなどの管理すべきものは、
不正や法令違反がある場合、組織・企業は真因究明と再発防止を
コミットするために報告書を公表しています。
品質不正は必ず真因を報告書に載せる
品質不正事例は、ＱＣプラネッツのブログ記事でまとめています。
 |
【まとめ】品質不正がよくわかる |
だから、さらに深部へ分析ができる。
どの報告書も、真因は明快に書かれています。
情報セキュリティインシデント報告書は真因を明示しない
一方、情報セキュリティインシデントは
報告書に真因を明示しない、
公表しない場合が
多いです。
それには理由があるからです。
★理由
犯罪の手口を明示すると再犯されるリスクがある。
確かに、納得がいく理由です。
しかし、１つ注意が必要で、
本来、組織が改善すべきポイントが露わにならないため、
改善したと後日公表しても、本当かどうかは疑わしいかもしれません。
組織改革にはエネルギーと時間がすごくかかります。
その間に、再攻撃受けるリスクが残っています。
情報セキュリティインシデント真因をあるある
とはいえ、
数件ですが、
真因を明示している事例もあります。
(本当にありがたいです！)
その事例を紹介します。
★ 真因
- 名のある大企業だが、情報セキュリティ専門者が0.5人(他業務と兼任)。
- 大病院だが、管理者パスワードが初期設定のままだった。
- 業務中に、ＮＧなサイトをクリック・ダウンロードしてしまった。
- インシデント対策訓練
確かに、
・報告書では体制強化、モラル・意識向上など
難しく、それらしい言葉が並ぶが、
上の理由を見れば、
「そりゃ、ダメでしょう！」
と言いたくなるものが意外と多いです。
名のある企業・組織だからと
過大評価せず、
何が真因なのかをよく考え、調べる必要があります。
⑥サイバー攻撃する方も実は大変苦労している
サイバー攻撃は確かに怖いけど。。。
1日、数百万件のサイバー攻撃を我々は受けています。
確かに、怖い！
でも、ここでも冷静に考えてみましょう。
攻撃力が上がれば、相手の防御力も上がる
20年前は、確かに世界的なサイバー事件がニュースになり、
知り合いがその対象になったことを思い出します。
しかし、
すぐに対策が講じられ、
それほど深刻ではないと
いう冷静な目線も必要です。
攻撃は犯罪行為であり、逮捕されるリスクがあります。
一方、防御は良い行為であり、評価されるメリットがあります。
攻撃?
防御?
どちらで飯を食いますか?
明らかに、後者ですよね。
多数の攻撃のイメージ
など、考えると、
すぐに対策が講じられ、
それほど深刻ではないと
いう冷静な目線も必要です。
★ハッキングのイメージ
ハッキング攻撃のイメージは
下図のように、
組織のセキュリティの壁を叩きまくって
力で壁を壊し内部に侵入する
とよく思われているはずです。
しかし、実際は、防御力も高く、外部から力で侵入するのは難しいです。
実際は、下図のように、
道にとりあえず、ハッキングする種をばらまき
そこに引っかかる獲物を捕まえる
方が現実的ではないでしょうか。
「道に放置された動物の糞を避けれるのに、
うっかり踏んでしまった」
のが情報セキュリティインシデント
というイメージがわかりやすいでしょう。
⑦情報セキュリティインシデント対策でやるべきこと
では、どのような対策をすればよいでしょうか？
情報セキュリティインシデント対策
大事なのは、
●レベルの高いことをやるな!（組織全員では無理）
●外部攻撃より、身近なミス・不正防止を徹底（その方が確実）
でしょう。
難しく、たくさん対策して万全と言えば、
かっこいいと思いがちですが、それは無理で、逆効果です。
●簡単なアクションを組織全体で回すことに一番注力すべきです。
当たり前のことを、皆でやる！
がISMSであり、
ISO27001です。
まとめ
以上、「疑心暗鬼に陥りがちな「情報セキュリティインシデント」（冷静になれ！）」を解説しました。
- ①情報セキュリティインシデント事例
- ②ありがちな恐怖
- ③その恐怖は本当なの？
- ④恐怖・不安を仰ぐ理由
- ⑤情報セキュリティインシデントの真因を隠す傾向が強い
- ⑥サイバー攻撃する方も実は大変苦労している
- ⑦情報セキュリティインシデント対策でやるべきこと
【まとめ】高校物理「原子物理」がよくわかる
★ 本記事のテーマ
- ①【必読】高校物理「原子物理」がすぐわかる方法を伝授！
- ②【重要】高校物理から原子構造が解明できる
- ③「プランク定数」が「粒子性と波動性の二面性」を導いた
- ④光子のエネルギ、運動量の公式が導出できる
- ⑤粒子性と波動性を合わせた原子モデルが作れる
- ⑥光速不変の原理によって質量とエネルギーの等価性がわかった
- ⑦シュレディンガー方程式を高校物理を用いて導出する
- ⑧【商品】「高校物理問題集」のご紹介
①【必読】高校物理「原子物理」がすぐわかる方法を伝授！
本サイトを読んで、本問題集をしっかり取り組めば
「原子物理がわからない！」が解消します！
(本音：時間かけて作りこんで本当に良かった！ 多くの方に読んでいただきたい！)
高校物理「原子物理」がわからず困っていませんか？
受験が間近に迫る中に学ぶ「原子物理」は
わからないし、不安
ではありませんか？
高校物理「原子物理」が難しく感じる理由
しっかり問題集を作っていく過程で、ふと疑問が浮かび、
それが、「原子物理」が不安にさせる原因だと分かりました！
その原因は
- 「原子物理」を学ぶと何が面白いのかが見えない。。。
- いきなり定数\(h\)や公式\((E=hν,p=h/λ,E=mc^2\))は暗記だけだからすぐ忘れる。。。
- 「粒子性と波動性の二面性」に気づいた経緯がわからない
- 大学入試問題は原子物理の現象を断片的に出題するので、
何を解いているかさっぱりわからない。 - 大学物理「量子力学」と連続性がなく、
別物を学んでいる感覚がある。
など、「原子物理」はどこか縁遠いおとぎ話の世界にいる感覚になります。
でも、そうじゃない！
やっと、
現象⇒数式モデル⇒仮説⇒検証⇒…
と考えながら解明していく
本当の物理が学べる！
本当の面白さが堪能できる範囲なのです。
わけのわからない世界の話ではなく、
物理本来の取り組み方を身に着ける大事な単元です。
高校物理「原子物理」は本当は面白いし、物理脳を鍛えるには重要！
ＱＣプラネッツのブログ・問題集を活用いただき、「原子物理がわからない」を解決しましょう！
高校物理「原子物理」ここがわからない！ポイントをまとめると以下になると考えました。
- 目に見えない「原子」の構造が解明できる！
- 「数式やモデルからどんな物理現象が起こりうるか」が自問できる
- 自問した疑問だから、検証し、解明したくなる！
- 力学、波、熱、電気、磁場と学んだことを駆使できる総力戦！
- 大学数学・大学物理への誘いとなる大事な「高校物理の原子物理」
共感いただける自信があります。
「原子物理」が面白く学べるＱＣセミナーの高校物理「原子物理」を紹介します。
ＱＣセミナーの高校物理「原子物理」
「高校物理・原子物理」がとても面白く学べるために以下の構成でまとめています。
- ②【重要】高校物理から原子構造が解明できる
- ③「プランク定数」が「粒子性と波動性の二面性」を導いた
- ④光子のエネルギ、運動量の公式が導出できる
- ⑤粒子性と波動性を合わせた原子モデルが作れる
- ⑥光速不変の原理によって質量とエネルギーの等価性がわかった
- ⑦シュレディンガー方程式を高校物理を用いて導出する
ブログ記事（無料）と問題集（有料）の違いは下表のとおりです。
まずブログ記事を読み進めていただき、問題集でしっかりマスターしましょう。
| 項目 | 記事 | 問題集(有料) |
| 学んでほしい 大事なこと |
有り | 有り |
| 学ぶための 大事な問い |
一部あり | 全問有り |
| 重要公式の詳細な 導出解説 |
概要のみ | 全て有り |
| メリット | 原子物理の 大事な流れが すぐわかる |
詳細な導出過程や それを考える問いに 触れられる |
では、大事なエッセンスをまとめたブログを紹介します。
②【重要】高校物理から原子構造が解明できる
「【結論】原子物理は何を学ぶのか？」をしっかり問うと
です！
高校化学の序盤で暗記する「原子構造」です。
必ず暗記するので、皆は知っています。
でも、
は気になりませんか？
この疑問を「解説ブログと問題集」で解消します。
 |
【QCセミナーの高校物理】リンク 「【重要】高校物理から原子構造が解明できる」 |
③「プランク定数」が「粒子性と波動性の二面性」を導いた
高校物理の原子物理では、中盤、
●プランク定数\(h\)が
いきなりでてきます。
この定数はなぜ大事なの？
波動によるエネルギーや運動量を求める
都合のよい定数
くらいしかピンと来ません。
プランク定数\(h\)の導出
プランク定数がなぜ超重要とわかったのか？
この疑問を「解説ブログと問題集」で解消します。
 |
【QCセミナーの高校物理】リンク 「【重要】「プランク定数」が「粒子性と波動性の二面性」を導いた」 |
④光子のエネルギ、運動量の公式が導出できる
プランク定数\(h\)の
重要さは理解できたとしても、
●運動量\(p=h/λ\)
はどうやって導出されたの？
は知らないでしょう。
公式導出を学ばないから
公式暗記代入練習しかしない。
だから、意味がわからずすぐ忘れる！！
ではありませんか?
●エネルギー\(E=hν\)
●運動量\(p=h/λ\)
はどうやって導出されたの？
この疑問を「解説ブログと問題集」で解消します。
 |
【QCセミナーの高校物理】リンク 「光子のエネルギE=hν、運動量p=h/λ の公式が導出できる」 |
⑤粒子性と波動性を合わせた原子モデルが作れる
原子物理の中盤になると
ボーアの水素原子モデル
を学びます
が伝えたいエッセンスがわからない
複雑な式を変形するところは
試験に頻出なので解き方は知っているが
意味が解らない
となっていませんか？
ボーアの水素原子モデルから
は何を学ぶべきか？
この疑問を「解説ブログと問題集」で解消します。
 |
【QCセミナーの高校物理 6原子物理】リンク 「粒子性と波動性を合わせたボーアの水素原子モデルが作れる」 |
⑥光速不変の原理によって質量とエネルギーの等価性がわかった
核分裂の内容を理解するために、
\(E=mc^2\)
という式がいきなり出てきます。
相対性理論から来たらしいが
意味不明。。。
試験の解き方だけ理解しているでは、
本質が見えませんよね。
\(E=mc^2\)はどうやって導出されたのか？
相対性理論との関係性は何か？
この疑問を「解説ブログと問題集」で解消します。
 |
【QCセミナーの高校物理 6原子物理】リンク 「光速不変の原理」によって「質量とエネルギーの等価性E=mc^2」がわかった |
⑦シュレディンガー方程式を高校物理を用いて導出する
大学の原子物理は
「シュレディンガー方程式」から始まります。
「大学物理の量子力学」
の間に大きなギャップがあり
関係性がわからない
「シュレディンガー方程式」は大学数学を駆使して導出する。
「高校物理の原子物理」と
「大学物理の原子物理」が
どうつながっているか？
この疑問を「解説ブログと問題集」で解消します。
 |
【QCセミナーの高校物理 6原子物理】リンク シュレディンガー方程式を高校物理を用いて導出する |
この大事なエッセンスを理解すれば、原子物理は得意になるのは必至です。
原子物理の理解を深めるための「問題集」を紹介します。
⑧【商品】「高校物理問題集」のご紹介
記事解説で紹介した各問題を詳細に学べるために、
を作成しました。
ブログ記事で紹介しきれない、エッセンスをわかりやすく解説します。
 |
【QCセミナーの高校物理】リンク 【「6.原子物理」編】の紹介・ご購入ページ |
まとめ
「【まとめ】高校物理「原子物理」がよくわかる」を解説しました。
- ①【必読】高校物理「原子物理」がすぐわかる方法を伝授！
- ②【重要】高校物理から原子構造が解明できる
- ③「プランク定数」が「粒子性と波動性の二面性」を導いた
- ④光子のエネルギ、運動量の公式が導出できる
- ⑤粒子性と波動性を合わせた原子モデルが作れる
- ⑥光速不変の原理によって質量とエネルギーの等価性がわかった
- ⑦シュレディンガー方程式を高校物理を用いて導出する
- ⑧【商品】「高校物理問題集」のご紹介
シュレディンガー方程式を高校物理を用いて導出する
★ 本記事のテーマ
- ①光速不変の原理によって質量とエネルギーの等価性がわかった
- ②オイラーの公式を高校数学で導出する
- ③電子の原子核内の運動を表現する(波動方程式)
- ④シュレディンガー方程式を高校物理を用いて導出する
- ⑤【まとめ】高校物理「原子物理」
- ⑥【商品】「高校物理問題集」のご紹介
「シュレディンガー方程式」から計算できますが、
大学数学を前提に導出するため、
高校物理とのつながりが見えません。
しかし、実際歴史では、
⇒シュレディンガー方程式の導出
⇒大学物理「量子力学」の世界
となります。
高校物理と大学物理が
扱う、高校数学と大学数学の違いもあり、
全く別物となりがちです。
ここが、「シュレディンガー方程式」の理解を妨げる要因の１つです。
を解説したいです。
その前に、
①光速不変の原理によって質量とエネルギーの等価性がわかった
本記事の「シュレディンガー方程式の導出」を理解するには、
・前々記事の【光速不変の原理によって質量とエネルギーの等価性がわかった】
を事前に確認しておく必要があります。
前記事を復習しておいてください。
|
【QCセミナーの高校物理 6原子物理】リンク 「光速不変の原理」によって「質量とエネルギーの等価性E=mc^2」がわかった |
②オイラーの公式を高校数学で導出する
★ 問題集に該当する問題
問題集 06-11 【1】
にあります。
オイラーの公式
オイラーの公式とは
(\(i\)=\(\sqrt{-1}\))
ですね。
大学数学では違和感ないのですが、
高校数学では、指数に虚数があることが違和感だと思います。
なので、
(\(e^{aθ}\) の「\(a\)」と同じ)
\(i^2\)すると-1になる変わった定数とみてください。
「指数に虚数がある」でアレルギー反応しなくてOKです。
オイラーの公式を導出
いろいろな導出方法がありますが、一番シンプルな例を持ってきました。
★導出問題
関数\(f(x)=\frac{cosx+isinx}{e^{ix}}\)
\(x\)は実数、\(i\)=\(\sqrt{-1}\)
とおく。
(1) 導関数\(f’(x)\)=0を示せ。
(2) \(f(x)\)=1から
\(e^{ix}\)=cosx+\(i\)sinxを示せ。
(3) 関数\(f(x)= cosωx+isinωx\)と、関数\(g(x)=e^{iωx}\)について、
・\(\frac{d^2f(x)}{dx^2}\)=\(-ω^2f(x)\)
・\(\frac{d^2g(x)}{dx^2}\)=\(-ω^2g(x)\)
を示せ。
③電子の原子核内の運動を表現する(波動方程式)
波の関数（波動関数）を用意する。
波の話で、
波は、位置と時間の関数でしたね。
下図のように、ある時刻tでの、各場所における波の高さをグラフにしました。
しかし、実際は同じ場所xでも時間によって波の高さも変わりますよね。
なので、波は、時間と距離の2変数から構成されることがわかりますね。
具体的には、
\(y=f(x,t)=sin(kx-ωt)\)
と書きますが、
「シュレディンガー方程式」の導出のために、もう一工夫して
\(Φ(x,t)\)=\(e^{i(kx-ωt)}\)=\(cos(kx-ωt)+isin(kx-ωt)\)
(\(k=\frac{2π}{λ}\),\(ω=2πν\))
と置きます。
sin,cosの波の式を扱っている！程度で思っておけば大丈夫です！
④シュレディンガー方程式を高校物理を用いて導出する
問題集 06-09 【2】【3】
にあります。
導出の概要
高校数学、高校物理の範囲でわかりやすく解説しますが、
本記事では、導出の概要を解説します。
解法の順序は以下の通りです。
- \(Φ(x,t)\)=\(e^{i(kx-ωt)}\)=\(cos(kx-ωt)+isin(kx-ωt)\)は
\(t,x\)の2変数の関数なので、
それぞれ片方について微分(大学では偏微分)します。
・\(x\)で微分：\(\frac{\partial Φ(x,t)}{\partial x}\)=\(ikΦ(x,t)\)…(式1)・\(t\)で微分：\(\frac{\partial Φ(x,t)}{\partial t}\)=\(-iωΦ(x,t)\)…(式2)
- \(p,E,k,ω\)の関係を(式1)(式2)に代入して、
運動量とエネルギーに関する意味合いを出します。
・(式1)：\(pΦ(x,t)\)=\(-ih’ \frac{\partial Φ(x,t)}{\partial x}\) …(式3)・(式2)：\(EΦ(x,t)\)=\(ih’ \frac{\partial Φ(x,t)}{\partial t}\) …(式4)
(\(h’=\frac{h}{2π}\))
- エネルギーEと運動量pには、
\(E=K+U\)=\(\frac{p^2}{2m}+U\)の関係があるので、
この関係式を使って(式3)と(式4)をつなぐ。 - まとめると、「シュレディンガー方程式」が導出できる。
\((-\frac{h’^2}{2m}\frac{\partial^2}{\partial x^2}+U)Φ(x,t)=ih’Φ(x,t)\) …(式5)
より詳細な式変形については、
・「\(x\)で偏微分」は\(x\)を変数、\(t\)を定数とみなして微分します。
・「\(t\)で偏微分」は\(t\)を変数、\(x\)を定数とみなして微分します。
なので、
\(f(x)=x^2+2ax+4\)を\(x\)で微分する感覚と同じです。
導出のポイント
大事なポイントは、
- 難しそうな「シュレディンガー方程式」の解は「波の挙動」であること。
- 原子内を動く電子は波の挙動を示すことが方程式の解からわかること。
- ①波の挙動、②粒子性・波動性の二面性、③エネルギー・運動量の関係式を駆使して、関係をつなげたのが「シュレディンガー方程式」であること。
- 高校物理の範囲から「シュレディンガー方程式」が導出できること。
つまり、下図のように電子は波のように飛び回ることが数学的に証明できたと言えます。
以上、高校物理「原子物理」で学ぶべき内容がすべて解説できました!
⑤【まとめ】高校物理「原子物理」
6つのブログ記事を使って、解説してきました。
- 原子構造が解明できたこと。
- プランクの式、プランク定数が「粒子性と波動性の二面性」をつなげたこと。
- 光の特殊な性質がわかり、相対性理論、\(E=mc^2\)ができたこと。
- 高校物理の範囲から「シュレディンガー方程式」が導出でき、さらなる解明は大学物理へとつなげたこと。
ここまで、解説できれば、
「高校物理、原子物理」の教材として十分でしょう。
本質を見てきました。
ここまで読んだあと、大学入試問題見ましょう。
原子物理領域の問題がスラスラ理解できるはずです。
⑥【商品】「高校物理問題集」のご紹介
記事解説で紹介した各問題を詳細に学べるために、
を作成しました。
ブログ記事で紹介しきれない、エッセンスをわかりやすく解説します。
|
【QCセミナーの高校物理】リンク 【「6.原子物理」編】の紹介・ご購入ページ |
まとめ
「シュレディンガー方程式を高校物理を用いて導出する」を解説しました。
- ①光速不変の原理によって質量とエネルギーの等価性がわかった
- ②オイラーの公式を高校数学で導出する
- ③電子の原子核内の運動を表現する(波動方程式)
- ④シュレディンガー方程式を高校物理を用いて導出する
- ⑤【まとめ】高校物理「原子物理」
- ⑥【商品】「高校物理問題集」のご紹介