実際の情報システムは、日々利用ユーザーの変更や、必要に応じた新しい機能の追加などという可変的な面もあります。
このために、セキュリティ対策についても日々の運用に対応した管理策が必要になってきます。
ISMSではISO/IEC27001の｢A.12運用のセキュリティ」の項目で必要な管理策が示されています。
システムの運用にあたっては、下記に示すような運用管理者の立場と利用者の立場それぞれで、果たすべき役割があります。
情報システム運用にあたっての立場と役割
システム運用管理者
- 情報システムの保守、運用
- ユーザーアカウント、特権アカウント等の管理
- 利用者の登録、変更、削除への対応とアカウント情報の維持管理
- 問い合わせ等ユザーサポート
利用者
- システム利用にあたっての登録、変更、削除等の申請
- ユーザー設備の管理（マルウエア対策、ソフトウェア管理、ハードウェア管理）
- アクセス権、パスワード等の管理
運用管理者、利用者ともに業務上必要なシステム、アプリケーション端末に対しての役割であり、業務に必要でないものは利用を制限することが前提であることに注意すべきです。
この両者の立場、役割それぞれでの管理策の適用が運用セキュリティを考える上で必要になります。
運用にあたっての操作手順の明確化が、情報処理システムや情報の正確さやセキュリティを保った運用を確実に実施するためには必要です。
運用の手順及び責任に関する運用セキュリティの管理策
操作手順書
- 操作手順は、文書化し、必要とするすべての利用者に対して利用可能にしなければならない
変更管理
- 情報セキュリティに影響を与える、組織、業務プロセス、情報処理設備及びシステムの変更は、管理しなければならない
容量・能力の管理
- 要求されたシステム性能を満たすことを確実にするために、資源の利用を監視・調整しなければならず、また、将来必要とする容量・能力を予測しなければならない
開発環境、試験環境及び運用環境の分離
- 開発環境、試験環境及び運用環境は、運用環境への認可されていないアクセスまたは変更によるリスクを低減するために、分離しなければならない
個々のシステムに対応した一般の利用者向けの利用者マニュアル、運用管理者向けの運用管理手順書が最低限必要な操作手順となります。
また情報システムは随時機能の追加、変更が行なわれますが、それに伴った操作手順の変更、運用管理方式の変更が確実に管理される必要があります。
具体的には、変更部分の明確化、情報システムの利用形態に与える影響評価、変更の実施手順とそのレビュー、承認といったプロセスの確立が重要になります。
またシステムに要求される機能、性能を果たすための容量や能力の管理も重要となります。
機能の追加や、新たなシステムの導入にあたっては、機能やシステムの開発・試験のための検証環境が必要になりますが、稼働中の運用システムに影響を与えぬよう分離しておくことも要求されます。