information-security-manager-iso27001 について
information-security-manager-iso27001は、ISO 27001:2022と医療分野の規制要件に沿ったISMSの導入・管理を支援する、セキュリティチームや組織向けのスキルです。リスク評価、管理策の確認、ギャップ分析、インシデント対応のワークフローを備えています。
主な機能
- 01ISO 27001の手法によるセキュリティリスク評価
- 02資産・脅威・リスク台帳の作成
- 03ISO 27001/27002管理策の実施状況確認
- 04ギャップと是正案の提示
- 05インシデント対応と監査準備のチェックリスト
活用シーン
- 01患者データシステムのセキュリティリスク評価
- 02管理策の実施状況確認とギャップ把握
- 03インシデント対応手順と認証準備の策定
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/information-security-manager-iso27001を入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
references/incident-response.mdiso27001-controls.mdrisk-assessment-guide.mdscripts/compliance_checker.pyrisk_assessment.py詳細
情報セキュリティマネージャー - ISO 27001
ISO 27001:2022 および医療分野の規制要件に準拠した情報セキュリティマネジメントシステム（ISMS）を導入・管理します。
目次
トリガーフレーズ
次のような依頼があった場合に、このスキルを使用します。
- 「ISO 27001 を導入して」
- 「ISMS の導入」
- 「セキュリティリスク評価」
- 「情報セキュリティポリシー」
- 「ISO 27001 認証」
- 「セキュリティ管理策の導入」
- 「インシデント対応計画」
- 「医療データセキュリティ」
- 「医療機器のサイバーセキュリティ」
- 「セキュリティコンプライアンス監査」
クイックスタート
セキュリティリスク評価の実行
python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json
コンプライアンス状況の確認
python scripts/compliance_checker.py --standard iso27001 --controls-file controls.csv
ギャップ分析レポートの生成
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md
ツール
risk_assessment.py
ISO 27001 第6.1.2項の手法に従って、セキュリティリスク評価を自動実行します。
使用方法：
# Full risk assessment
python scripts/risk_assessment.py --scope "cloud-infrastructure" --output risks.json
# Healthcare-specific assessment
python scripts/risk_assessment.py --scope "ehr-system" --template healthcare --output risks.json
# Quick asset-based assessment
python scripts/risk_assessment.py --assets assets.csv --output risks.json
パラメーター：
| パラメーター | 必須 | 説明 |
|---|---|---|
--scope | はい | 評価対象のシステムまたは領域 |
--template | いいえ | 評価テンプレート：general、healthcare、cloud |
--assets | いいえ | 資産インベントリを含む CSV ファイル |
--output | いいえ | 出力ファイル（デフォルト：標準出力） |
--format | いいえ | 出力形式：json、csv、markdown |
出力：
- 分類を含む資産インベントリ
- 脅威と脆弱性のマッピング
- リスクスコア（発生可能性 × 影響度）
- リスク対応の推奨事項
- 残存リスクの算出
compliance_checker.py
ISO 27001/27002 の管理策の実施状況を確認します。
使用方法：
# Check all ISO 27001 controls
python scripts/compliance_checker.py --standard iso27001
# Gap analysis with recommendations
python scripts/compliance_checker.py --standard iso27001 --gap-analysis
# Check specific control domains
python scripts/compliance_checker.py --standard iso27001 --domains "access-control,cryptography"
# Export compliance report
python scripts/compliance_checker.py --standard iso27001 --output compliance_report.md
パラメーター：
| パラメーター | 必須 | 説明 |
|---|---|---|
--standard | はい | 確認する規格：iso27001、iso27002、hipaa |
--controls-file | いいえ | 現在の管理策の状況を含む CSV |
--gap-analysis | いいえ | 是正の推奨事項を含める |
--domains | いいえ | 確認する特定の管理策ドメイン |
--output | いいえ | 出力ファイルのパス |
出力：
- 管理策の実施状況
- ドメイン別のコンプライアンス率
- 優先度付きのギャップ分析
- 是正の推奨事項
ワークフロー
ワークフロー 1：ISMS の導入
ステップ 1：適用範囲と状況の定義
組織の状況と ISMS の境界を文書化します。
- 利害関係者とその要求事項を特定する
- ISMS の適用範囲と境界を定義する
- 内部および外部の課題を文書化する
検証： 適用範囲の声明がレビューされ、経営陣に承認されていること。
ステップ 2：リスク評価の実施
python scripts/risk_assessment.py --scope "full-organization" --template general --output initial_risks.json
- 情報資産を特定する
- 脅威と脆弱性を評価する
- リスクレベルを算出する
- リスク対応の選択肢を決定する
検証： リスク登録簿にすべての重要な資産が記載され、担当者が割り当てられていること。
ステップ 3：管理策の選択と実施
リスクを ISO 27002 の管理策に対応付けます。
python scripts/compliance_checker.py --standard iso27002 --gap-analysis --output control_gaps.md
管理策のカテゴリ：
- 組織的（ポリシー、役割、責任）
- 人的（審査、意識向上、トレーニング）
- 物理的（境界、設備、媒体）
- 技術的（アクセス、暗号、ネットワーク、アプリケーション）
検証： 適用宣言書（SoA）に、すべての管理策とその正当性が記載されていること。
ステップ 4：モニタリングの確立
セキュリティ指標を定義します。
- インシデント件数と重大度の傾向
- 管理策の有効性スコア
- トレーニング完了率
- 監査指摘事項の是正完了率
検証： ダッシュボードにコンプライアンス状況がリアルタイムで表示されること。
ワークフロー 2：セキュリティリスク評価
ステップ 1：資産の特定
資産インベントリを作成します。
| 資産の種類 | 例 | 分類 |
|---|---|---|
| 情報 | 患者記録、ソースコード | 機密 |
| ソフトウェア | EHR システム、API | 重大 |
| ハードウェア | サーバー、医療機器 | 高 |
| サービス | クラウドホスティング、バックアップ | 高 |
| 人員 | 管理者アカウント、開発者 | さまざま |
検証： すべての資産に担当者と分類が割り当てられています。
ステップ 2：脅威分析
資産カテゴリーごとに脅威を特定します。
| 資産 | 脅威 | 発生可能性 |
|---|---|---|
| 患者データ | 不正アクセス、情報漏えい | 高 |
| 医療機器 | マルウェア、改ざん | 中 |
| クラウドサービス | 設定ミス、サービス停止 | 中 |
| 認証情報 | フィッシング、ブルートフォース攻撃 | 高 |
検証： 脅威モデルで、業界の主要な脅威トップ 10 を網羅しています。
ステップ 3：脆弱性評価
python scripts/risk_assessment.py --scope "network-infrastructure" --output vuln_risks.json
脆弱性を記録します。
- 技術面（未適用のパッチ、脆弱な設定）
- プロセス面（手順の欠如、ギャップ）
- 人的側面（トレーニング不足、内部関係者のリスク）
検証： 脆弱性スキャンの結果がリスク台帳にマッピングされています。
ステップ 4：リスク評価と対応
リスクを算出します：Risk = Likelihood × Impact
| リスクレベル | スコア | 対応 |
|---|---|---|
| 重大 | 20-25 | 直ちに対応が必要 |
| 高 | 15-19 | 30 日以内に対応計画を策定 |
| 中 | 10-14 | 90 日以内に対応計画を策定 |
| 低 | 5-9 | 受容または監視 |
| 最小 | 1-4 | 受容 |
検証： すべての高リスクおよび重大リスクに、承認済みの対応計画があります。
ワークフロー 3：インシデント対応
ステップ 1：検知と報告
インシデントのカテゴリー：
- セキュリティ侵害（不正アクセス）
- マルウェア感染
- データ漏えい
- システム侵害
- ポリシー違反
検証： 検知から 15 分以内にインシデントが記録されています。
ステップ 2：トリアージと分類
| 重大度 | 基準 | 対応時間 |
|---|---|---|
| 重大 | データ侵害、システム停止 | 即時 |
| 高 | 進行中の脅威、重大なリスク | 1 時間 |
| 中 | 封じ込められた脅威、影響は限定的 | 4 時間 |
| 低 | 軽微な違反、影響なし | 24 時間 |
検証： 重大度が割り当てられ、必要に応じてエスカレーションが開始されています。
ステップ 3：封じ込めと根絶
直ちに実施する対応：
- 影響を受けたシステムを隔離する
- 証拠を保全する
- 脅威の侵入経路を遮断する
- 悪意のある成果物を削除する
検証： 封じ込めが確認され、侵害が継続していないことが確認されています。
ステップ 4：復旧と教訓の整理
インシデント後の活動：
- クリーンなバックアップからシステムを復元する
- 再接続前に完全性を検証する
- 時系列と対応を記録する
- インシデント後のレビューを実施する
- 管理策と手順を更新する
検証： インシデント後の報告書が 5 営業日以内に完成しています。
参照ガイド
各参照資料の使用場面
references/iso27001-controls.md
- SoA の管理策選定
- 実装ガイダンス
- 証拠要件
- 監査準備
references/risk-assessment-guide.md
- リスク評価手法の選定
- 資産分類の基準
- 脅威モデリングのアプローチ
- リスク算出方法
references/incident-response.md
- 対応手順
- エスカレーションマトリックス
- コミュニケーションテンプレート
- 復旧チェックリスト
検証チェックポイント
ISMS 実装の検証
| フェーズ | チェックポイント | 必要な証拠 |
|---|---|---|
| 適用範囲 | 適用範囲が承認済み | 署名済みの適用範囲文書 |
| リスク | 台帳が完成 | 担当者を記載したリスク台帳 |
| 管理策 | SoA が承認済み | 適用宣言書 |
| 運用 | メトリクスが稼働中 | ダッシュボードのスクリーンショット |
| 監査 | 内部監査が完了 | 監査報告書 |
認証審査への準備
ステージ1審査の前に：
- ISMSの適用範囲を文書化し、承認を得る
- 情報セキュリティポリシーを公開する
- リスクアセスメントを完了する
- 適用宣言書を最終化する
- 内部監査を実施する
- マネジメントレビューを完了する
- 不適合に対処する
ステージ2審査の前に：
- 管理策を実装し、運用する
- 有効性を示す証拠を用意する
- スタッフにトレーニングを実施し、認識を徹底する
- インシデントを記録し、管理する
- 3か月以上にわたって指標を収集する
コンプライアンスの検証
定期的にチェックを実行します。
# Monthly compliance check
python scripts/compliance_checker.py --standard iso27001 --output monthly_$(date +%Y%m).md
# Quarterly gap analysis
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output quarterly_gaps.md
実例：医療分野のリスクアセスメント
シナリオ： 患者データ管理システムのセキュリティリスクを評価します。
ステップ1：資産を定義する
python scripts/risk_assessment.py --scope "patient-data-system" --template healthcare
資産インベントリの出力：
| 資産ID | 資産 | 種類 | 所有者 | 分類 |
|---|---|---|---|---|
| A001 | 患者データベース | 情報 | DBA チーム | 機密 |
| A002 | EHR アプリケーション | ソフトウェア | アプリケーションチーム | 重大 |
| A003 | データベースサーバー | ハードウェア | インフラチーム | 高 |
| A004 | 管理者認証情報 | アクセス | セキュリティ | 重大 |
ステップ2：リスクを特定する
リスク台帳の出力：
| リスクID | 資産 | 脅威 | 脆弱性 | L | I | スコア |
|---|---|---|---|---|---|---|
| R001 | A001 | データ侵害 | 暗号化が弱い | 3 | 5 | 15 |
| R002 | A002 | SQL インジェクション | 入力検証 | 4 | 4 | 16 |
| R003 | A004 | 認証情報の窃取 | MFA なし | 4 | 5 | 20 |
ステップ3：対応を決定する
| リスク | 対応 | 管理策 | 期限 |
|---|---|---|---|
| R001 | 低減 | AES-256 暗号化を実装する | 30日 |
| R002 | 低減 | 入力検証とWAFを追加する | 14日 |
| R003 | 低減 | すべての管理者にMFAを義務付ける | 7日 |
ステップ4：実装を検証する
python scripts/compliance_checker.py --controls-file implemented_controls.csv
検証結果：
Control Implementation Status
=============================
Cryptography (A.8.24): IMPLEMENTED
- AES-256 at rest: YES
- TLS 1.3 in transit: YES
Access Control (A.8.5): IMPLEMENTED
- MFA enabled: YES
- Admin accounts: 100% coverage
Application Security (A.8.26): PARTIAL
- Input validation: YES
- WAF deployed: PENDING
Overall Compliance: 87%