執筆原稿
情報セキュリティ監査・審査系資格の取得と効用■第5回■ 情報セキュリティ管理者・責任者の国際的資格「公認情報セキュリティマネージャー」(CISM)
| 掲載誌 | 有料メールマガジン「Scan Security Management（2006年度）」 |
|---|---|
| 掲載年月 | 2006年07月18日 Vol.160 |
| 執筆者 | 株式会社アイドゥ 柳生謙・井上きよみ |
企業の情報セキュリティを管理、設計、監督
公認情報セキュリティマネージャー(Certified Information Security Manager；以下CISM)は、米国を本部とする世界的な民間団体「情報システムコントロール協会」(以下ISACA)が認定する、情報セキュリティマネージャーに特化した資格である。時代の要請に応え、2002年に創設され、2003年度より試験が開始された。ISACA本部による世界統一基準で認定されるという特徴を持つ。
ISACAは、以前から情報システムの監査、セキュリティ、コントロールに関する高度な知識・技能と経験を有する者に対し、「公認情報システム監査人」(Certified Information Systems Auditor；以下CISA)を認定している。よって、CISA保有者がCISMをも取得するケースが多いようだ。
CISMは、セキュリティマネージャの実務を分析し、以下の5ドメイン
- 情報セキュリティ・ガバナンス
- リスク管理
- 情報セキュリティ・プログラム管理
- 情報セキュリティ管理
- レスポンス管理
に分類して、必要なタスクを整理し、その知識と経験を認定する資格制度で、実務に焦点を当てているところが、他の資格と大きく異なる。
最近SOX法がにわかに注目を集めているが、同法は、内部統制の確立を要請している。内部統制の評価を行うのが監査で、IT内部統制の評価を行うのがシステム監査である。したがってCISMは他の同等資格より、SOX法に近いといえる。
日本では、2005年12月2日時点で87名の情報セキュリティプロフェッショナルがCISMとして認定を受け、既に活躍している。世界全体では、5,231名のCISM認定者がいる。
>>CISM資格制度
>>ISACA東京支部の活動 ～CISA～ 情報システム監査の国際的資格
CISMに認定されるには
CISM認定を受けるには、次の「一般認定基準」をすべてクリアすることが必要である。
- CISM試験の合格
スケールドスコアーと呼ばれる採点方式により75点以上で合格。
問題数は200問(選択式)で、試験時間は4時間。
言語は、英語と日本語のいずれかの選択が可能(2006年6月試験)。
試験領域は上記の6ドメイン。
試験は6月・12月の年2回実施。
CISA(公認情報システム監査人)と同じ試験実施スキームで実施。2005年6月の試験において、日本語の全受験者は94名、東京支部の会員からは46名が合格している。
- 情報セキュリティ分野における5年以上の業務経験
その内3年以上は、上記の試験領域中の3分野で、情報セキュリティ管理の職務経験を有すること。
また、情報セキュリティの一般的業務経験(最大2年)については、以下の代替も可能。- CISAなどの指定資格や情報セキュリティや関連分野(経営学、情報システムなど)の大学院学位で、最大2年の業務経験があるものとみなす
- 満1年の情報セキュリティ管理経験や、「MCSE」「CompTIA Security+」等の指定資格で、最大1年の業務経験があるものとみなす
- 業務経験はCISM受験の前提条件ではないが、合格後のCISM申請時に過去10年以内の業務経験を申請する必要がある。
なお、CISM合格後5年以内に申請をしないと合格は失効する。
- 「ISACA職業倫理規定」に従う
本規定は受験登録者に配布されるCISM試験受験者ガイドに記載。
- 継続教育方針(CEP)の順守
1CPE時間は50分で、年間20CPE時間、かつ、3年間で120時間以上。
(具体的な計算方式は、合格者宛に送付される継続教育方針書を参照)
CISM取得者の声：SOX法等で需要は必須、今なら日本国内で希少価値！
＜新日本監査法人：菊池道夫氏＞
＞現在の仕事と資格取得のきっかけは？
以前は会計監査というと経理部門の方々をメインに監査対応をお願いしていたが、SOX法等で情報システム部門にも監査対応をお願いする機会が増えてきた。
結果、情報セキュリティやシステムを利用した内部統制など、より具体的なアドバイスを求められる機会が増え、情報セキュリティ面においても適切なコメントを出せる監査人になる必要性が高まったことが、資格取得のきっかけだった。
＞取得までの学習方法や期間は？
最新の教材は、英語原文・日本語共に下記サイトより購入可能である。
これらのマニュアルだけの勉強であれば、2～3ヶ月で十分に覚えることが可能だが、私の場合、資格取得だけではなく、適切なコメントをクライアントに出せることが目的のため、体に染み付け、即座に反応できるようになるよう反復復習が必要だった。
そうしているうちに、いつの間にかどのような課題(またはクライアントからの質問)があっても、即座に対応できる体になっていた。
また、ISACAの東京支部では「公認情報セキュリティマネージャー(CISM)レビューコース」として、CISM日本語受験予定者向けに、国際本部制定の英語のレビューコース内容を日本語化し、試験領域ごとに解説している。
>>公認情報セキュリティマネージャー(CISM)
私自身は、このレビューコースへ参加したことはないが、独学で勉強するだけでなく、専門家から説明を受け習得するのも一つの方法と思われる。
＞資格取得後の活躍の舞台と今後の展望は？
情報セキュリティガバナンス、セキュリティリスクマネジメントなどをクライアントへ提案する等、企業や組織に対し、情報セキュリティマネジメントの専門家として活躍できる。
＞資格取得を目指している人へのメッセージを
日本での資格保持者が100名以内ということで希少価値もあり、自分自身の価値向上につながっていると感じている。
個人情報保護法やSOX法など、今後も非常に関心の高い分野だと思われる。
ぜひ積極的にCISM取得にチャレンジしていただきたい。
EDIT
カテゴリ:
トラックバック(0)
このブログ記事を参照しているブログ一覧: 情報セキュリティ監査・審査系資格の取得と効用■第5回■ 情報セキュリティ管理者・責任者の国際的資格「公認情報セキュリティマネージャー」(CISM)
このブログ記事に対するトラックバックURL: http://www.eyedo.jp/cgi-bin/mt/mt-tb.cgi/62
コメントする