セキュリティ管理 — 自分のインフラに適用した ISO 27001 と GDPR
どのセキュリティリスクが重要か、どう対処するか、それをどう証明するかを決めるための体系的な方法。このサイトを動かすサーバーに適用しました。
ニーズ
「安全です」と言うだけでは何も証明できません。組織は ISO 27001 規格を使って、セキュリティリスクへの対応を決め、文書化し、証明します。それを実際の対象で実践してみたいと考えました。
アイデア
自分のサーバーを顧客のサーバーのように扱うこと。範囲を定め、リスクを分析し、管理策を選び、監査し、課題は隠さずに公開します。
つくったもの
- 対象範囲と、守るべき資産の一覧。
- フランスの国家的な手法 EBIOS RM によるリスク分析。
- ISO 27001（2022年版）の93の管理策を一つずつ確認。除外した35項目にも、それぞれ理由を書いています。
- セキュリティ方針、運用手順、そしてこのサイトが扱う訪問者データについての GDPR 処理記録。
- 17の管理策の内部監査と、すべて書き出した課題。
- リアルタイムの証拠：一部の要件は、宣言するだけでなく1時間ごとに自動で測定しています。
成果
- 93一つずつ確認した管理策
- 35除外（それぞれ理由を記載）
- 17内部監査した管理策
- 14 · 2 · 1適合 · 一部適合 · 不備
93の管理策のうち、12が実施済み、30が一部実施、16が未着手、35が適用外です（2026年9月12日に再確認）。公開用の抜粋はオンラインにあり、リスク分析の全文と適用宣言書は面接でお見せします。
画面で見る
学んだこと
しっかりした理由で管理策を除外することは、適用することと同じくらい多くを物語ります。そして、成功だけを並べるセキュリティの仕組みは、仕組みではなくパンフレットです。
技術的な詳細 技術スタック、アーキテクチャ、設計判断（技術職の方向け）
技術スタック
- ISO/IEC 27001:2022
- EBIOS RM
- GDPR
- Ubuntu
- nginx
- systemd
- Cloudflare
- Litestream + restic
仕組み
- 対象範囲：本番 VM、アプリケーション、データベース、訪問データ、管理者アクセス。明示的に対象外：個人の作業用 PC と第三者のアカウント。
- EBIOS RM の5つのワークショップを実施し、残留リスクは書面で受容しました。ワークショップ4と5は意図的に公開していません。
- 適用宣言書：実施済み12、一部実施30、未着手16、適用外35。適用外の多くは、クラウド事業者に移転した人的・物理的な管理策です。
- GDPR：処理活動の記録（第30条）、正当な利益の比較衡量、情報提供（第13条）、データ主体の権利への対応手順（第15〜21条）、侵害時の手順（第33条）、DPIA と DPO の分析（第35条・第37条）。
- 内部監査：17の管理策のうち、適合14、一部適合2、構造的な不備1（全文を記載）。インシデント記録も公開しています。
- GDPR 第14条に基づく確かな法的根拠がないため、OSINT 情報の自動収集機能は断念しました。
- 既知の課題：バックアップ用マシンを外して以降、事業継続をテストしていないこと。脆弱性の継続的なスキャンがないこと。
まだ足りない点
- 認証なし（個人では取得不可）
- 事業継続は未検証
- 脆弱性の継続的なスキャンなし