1. プロジェクト立ち上げ（2/5）～個別システム化計画の承認～

ipa
2024.07.22

1-2 個別システム化計画の承認

概要　(引用)

IT ストラテジスト（ST）が個別システム化計画を審査・承認する組織（以下，承認組織という）に提出し，個別システム化計画の妥当性の審査を経て承認を得ることを支援する。
計画の承認組織は，計画内容の組織の戦略と目標に対する充足性を評価した上で，組織にとっての予算の限度，組織が期待する完了時期，適用する品質要求事項，資源の利用可能量などを勘案し，必要に応じて計画内容に対して何らかの制約又は条件を加える可能性がある。
ST が，設定された制約が大きな支障とならないかどうかを判断し，必要に応じて個別システム化計画の承認組織と調整するが，その際に支援する。
変化に俊敏に適応して価値を創出するためには，組織の枠にとらわれず活用できる全ての専門知識及びスキルを結集してプロジェクトを推進する必要がある。
このようなプロジェクトの推進方法に関して承認組織の理解と合意を得る必要がある。
この個別システム化計画は，プロジェクトフェーズの立ち上げプロセス群及び計画プロセス群のプロセスに対する初期の要求事項となって，後続のプロセスで段階的に詳細化される。
個別システム化計画の承認組織の位置付けと権限は，プロジェクトを立ち上げる組織やプロジェクトの形態によって異なる。

200字要約

ITストラテジスト（ST）は、個別システム化計画を承認組織に提出し、妥当性の審査と承認を支援する。承認組織は計画が戦略に合致し、予算やリソースに適合するかを評価し、制約を課すことがある。STはその制約が問題とならないか判断し、必要に応じて調整する。また、プロジェクトの成功には専門知識の結集と承認組織の理解が重要で、計画は後続のプロセスで詳細化される。承認組織の役割はプロジェクトの形態により異なる。

機密情報の取り扱いについて

プロジェクトにおける組織の制約の中で、「機密情報の取り扱い計画」は特に重要です。機密情報の取り扱い計画は、プロジェクトの成功と情報セキュリティの確保に不可欠な要素です。この計画を適切に策定し、実施することにより、機密情報が不正アクセスや漏洩から保護され、関係者全員が情報セキュリティに対する責任を理解し、遵守することが求められます。以下に、機密情報の取り扱い計画の主な要素について説明します。

1. 機密情報の定義と分類

  • 機密情報の定義
    • 機密情報とは、公開されると組織に重大な損害を与える可能性のある情報を指します。これには、顧客データ、財務情報、技術情報、知的財産などが含まれます。
  • 情報の分類
    • 機密情報をいくつかのカテゴリに分類し、それぞれに対する取り扱い方法を明確にします。一般的な分類には、機密、内部限定、公開情報などがあります。

2. アクセス制御

  • アクセス権の管理
    • 機密情報へのアクセスは、必要最小限の従業員に限定します。アクセス権は役割や職務に基づいて設定され、定期的に見直されます。
  • 認証と認可
    • アクセスには強力な認証メカニズム（例えば、二要素認証など）を使用し、適切な認可プロセスを実施します。

3. 物理的および技術的なセキュリティ対策

  • 物理的セキュリティ
    • 機密情報が保管されている場所には、適切な物理的セキュリティ対策（施錠されたキャビネット、アクセス制御システムなど）を実施します。
  • 技術的セキュリティ
    • ファイアウォール、暗号化、侵入検知システムなどの技術的なセキュリティ対策を導入し、機密情報を保護します。

4. 教育とトレーニング

  • 従業員教育
    • 全ての従業員に対して、機密情報の取り扱いに関する教育とトレーニングを実施します。これには、情報セキュリティの基本原則、具体的な取り扱い手順、リスクとその対策などが含まれます。
  • 定期的なトレーニング
    • 情報セキュリティのトレーニングを定期的に実施し、最新のセキュリティ対策や脅威について従業員に情報提供します。

5. インシデント対応計画

  • インシデントの識別と報告
    • 機密情報の漏洩や不正アクセスなどのインシデントを迅速に識別し、報告するための手順を確立します。
  • 対応と復旧
    • インシデント発生時の対応計画を策定し、被害の最小化と迅速な復旧を図ります。これには、影響範囲の評価、被害の封じ込め、原因の究明、再発防止策の実施が含まれます。

6. 監査と評価

  • 内部監査
    • 定期的に内部監査を実施し、機密情報の取り扱い計画が適切に運用されているかを評価します。
  • 改善
    • 監査結果を基に、情報セキュリティ対策の改善を継続的に行います。

まとめ

機密情報の取り扱い計画は、組織の情報セキュリティを確保するための重要な手段です。適切な計画と実施により、機密情報の保護を強化し、プロジェクトの成功に寄与します。全ての関係者がこの計画を理解し、遵守することが求められます。