ガバナンス評議会は、組織に対するすべてのリスクの管理を担当する幹部で構成され、組織のセキュリティ機能を監視しながら、セキュリティ機能が組織とその利害関係者の両方のニーズに応え続けることを保証することが主な目的です。彼らは、進行中および計画中のプロジェクト、リモート指標、および企業全体に関係する可能性のあるその他のセキュリティ問題をレビューします。

買収にはそれぞれ特有の状況が伴うため、両組織のセキュリティ専門家が協力して各組織のセキュリティ管理を評価し、冗長性を排除してシステムの封じ込めを確実にする方法を見つけ出す必要があります。

考えられるリスクポイント:

対策:

• 売却に関係するすべての資産を特定し、分類します。これにはハードウェア、ソフトウェア、情報資産が含まれます。

•影響を受けるシステムを残りのインフラストラクチャから分離します。

•すべてのアクセス権を確認します。

• 法務チームおよびコンプライアンス チームに相談して、データの保持、削除などに関して必要なすべての規制要件およびコンプライアンス要件に従っていることを確認します。

最高情報セキュリティ責任者は、組織内の情報セキュリティ プログラムの全体的な管理と監督を担当する上級管理者です。

最高情報セキュリティ責任者は、組織のセキュリティ戦略とビジョンを推進し、会社のシステムと情報のセキュリティに最終的な責任を負います。

CSO は組織内の上級幹部であり、通常はすべての物理的セキュリティおよび人的セキュリティの問題に責任を負います。

多くの組織は、CSO の責任を CISO の役割に統合しています。

セキュリティの脅威を防止、検出、軽減、または対抗するために組織が使用する技術的、運用的、または管理的な保護手段。

技術的制御: ファイアウォール、I1DS/PS、データ損失防止 (DLP) などのシステムベースの保護と対策 •

運用管理：警備員など主に人間が行う防護措置や対策。

管理制御: 情報セキュリティのリスクを制御するためのポリシー、手順、およびその他の対策を含みます。

警戒原則は、情報の機密性、完全性、可用性の維持など、情報セキュリティを保護するための合理的かつ賢明な行動を指し、すべての人に適用されます。この原則は、情報セキュリティの専門知識のレベルに関係なく、あらゆる個人または組織に適用されます。

デューデリジェンスとは、合理的なセキュリティ対策が実施され、効果的に機能していることを確認するために情報セキュリティにおいて講じられる一連の対策を指します。これには、正式なセキュリティ フレームワークの開発、セキュリティ ポリシー、標準、ベースライン、ガイドラインと手順の開発などが含まれます。この点に関して、デューデリジェンスが確実に実行されるようにするのは上級管理職の責任です。

1987 年に米国議会で可決されましたが、削除され、FISMA に置き換えられました。

連邦情報セキュリティ管理法に基づき、すべての米国連邦政府機関とこれらの機関に情報サービスを提供する非政府組織は、NIST リスク管理フレームワーク (RMF) に準拠したリスクベースのセキュリティ評価を実施することが義務付けられています。

上場会社の財務に関する規制

ペイメントカード業界の規制

システムおよび組織の制御を表し、SOC1、SOC2、および SOC3 という名前の 3 つの一般的に使用される SOC 監査およびレポート タイプを備えた監査フレームワークです。

SOC1: 財務諸表に関する監査

SOC2: 詳細な監査およびコンプライアンス レポート。通常は公開されていません。

SOC3: SOC2 の簡易バージョンであり、一般に公開されています。

プライバシー要件とは、情報処理中の個人情報のセキュリティと機密性を保護し、個人情報へのアクセスを許可された当事者の許可された使用範囲に制限することを指します。本質的に、プライバシーとは、個人のプライバシーの権利を保護するために、個人を特定できる情報を保護することを指します。

1.4.2.1PII

サイバー犯罪とは、コンピュータまたはインターネットに直接関与する犯罪行為を指し、主に次のような行為が含まれます。

データ侵害は、サイバー犯罪者によって許可なく情報がアクセスされたり盗まれたりする特殊な種類のサイバー犯罪です。データ侵害の影響を受けた組織は、風評被害、個人情報の盗難事件、罰金、または盗難による知的財産の損失に直面する可能性があります。暗号化は、組織をデータ侵害から保護する簡単な方法です。

コンピューター詐欺および濫用法 (CFAA): サイバー犯罪を対象としたアメリカ初の刑法で、さまざまな種類のハッキングを連邦犯罪としています。 CFAAの修正案は抵抗に遭った。

電子通信プライバシー法 (ECPA): 米国政府による通信の傍受と情報の保存を制限しており、政府は電子通信に対する捜査令状を取得するために厳格な要件を満たす必要があります。

個人情報の盗難および抑止推定法: 個人の価値の窃盗を連邦犯罪とします。

ソフトウェアは重要な知的財産の形態です。組織は、ソフトウェアの開発とライセンス契約を通じてソフトウェアの保護に多額の資金と人的リソースを投資します。ライセンス契約には一般的に次の 4 種類があります。

情報セキュリティ専門家の非常に重要な責任は、組織に属する知的財産を不正な使用や開示から保護することです。

1.著作権

2.商標について

3.特許

4. 営業秘密

武器取引規則 (TAR) は防衛用品に関連するものです。

輸出管理規則 (EAR) は、機密性の高い電子機器やコンピューター、レーザー、ナビゲーション、海洋技術などを含む、多くの広範な技術カテゴリを対象としています。

1.「個人情報保護法」

2. 医療保険の相互運用性と責任に関する法律 (HIPAA)

3.児童オンラインプライバシー保護法（COPPA）

4. 金融サービス近代化法 (GLBA)

5. 経済的および臨床的健康のための医療情報技術 (HITECH) 法

1.《データ保護指令（DPD）》

2. 一般データ保護規則 (GDPR)

3. 「セーフハーバー」および「プライバシー シールド」は米国と欧州連合の間のプライバシー保護協定であり、どちらも失効しています。

問題の根本原因を見つけて解決し、ビジネスが通常の業務を再開できるようにするための組織内での調査。

セキュリティ ポリシーは、組織の長期的なセキュリティへの期待を非常に注意深く説明し、組織内の情報システムとデータの保護を管理する原則とルールを特定する一連のステートメントです。

•ポリシーの遵守は必須であり、ポリシーは通常、組織の最高レベルによって承認されます。

いくつかの一般的なセキュリティ ポリシー: アクセプタブル ユース ポリシー、アクセス コントロール ポリシー、変更管理ポリシー、リモート アクセス ポリシー、災害復旧ポリシー

セキュリティ標準は、組織が承認した暗号化プロトコル、データの保存場所、構成パラメータ、その他の技術的および運用上の詳細など、組織が従う必要があるセキュリティ制御の具体的な詳細を指定します。複雑な構成標準に関しては、Center for Internet Security が提供するセキュリティ構成ガイドなどの業界標準が参考になることがよくあります。

安全基準への準拠は必須です。セキュリティ ベースラインは、システム、ネットワーク、またはデバイスの最低限のセキュリティ レベルを確立する標準に関連しており、ベースライン要件が満たされていない場合はオンラインにできません。

安全手順は、従業員が特定の安全作業を実行する際に従うことができる段階的な指示です。

ガイドは、セキュリティ専門家が組織の他のメンバーに、情報セキュリティのベスト プラクティスなどのアドバイスを提供する場所です。安全ガイドラインへの準拠は任意です。

1. BC プロジェクト チーム、範囲、予算を確立することから始めます。

2.重要なビジネス基盤 (CBF) およびその他の重要なビジネス要素を特定します。

3.主要事業のリスク分析を実施します。

1.最大許容ダウンタイム (MTD) または最大許容ダウンタイム (MAO) は、重要なビジネス機能が利用できない合計時間を表します。 MTD は、組織の CBF が適切に機能することに対して最終的な責任を負うシステム所有者によって決定される必要があります。

2.目標復旧時間 (RTO) は、許容できないビジネスへの影響を回避するために、停止後に重要なビジネスを再開する必要がある最大期間です。 RTO は MTD 以下である必要があります。

3. 目標復旧時点 (RPO) は、許容可能なデータ損失の測定値であり、期間で表されます。

事業継続計画は、組織の重要なビジネス機能と顧客を保護し、法的要件や規制要件、MTD、RTO、RPO セットを満たすために指定されたサービス レベルと期間内で組織が効率的に業務を継続できるようにすることを目的として設計されています。組織によって。

事業継続計画 BCPフェーズ

重要なビジネス機能

脅威、脆弱性、リスク

データのバックアップとリカバリの計画

FBCP関係者

コミュニケーションプラン

BCPテスト要件

緊急時に組織内外の人々の安全を確保することは、BCP の主な目標です。従業員が緊急時の行動方法を理解できるように、適切なトレーニングと教育を提供します。

重要なビジネス機能を評価し、災害時に必要なリソースを決定します。継続的な運用を確保するために、重要なデータ処理施設と機能のバックアップ サイト計画を策定します。

ソフトウェアとハ​​ードウェアの障害を予測し、リスクを軽減するための制御を開発します。電力、水道、通信、ネットワーク接続などのインフラストラクチャを含む、データのバックアップと冗長システムを実装します。

学歴

実務経験

-市民権

-犯罪歴

薬物検査

学年

信用および財務履歴

ソーシャルメディア活動

※外資系企業は一般的に健康診断（通常の健康診断）を重視しません。

最も一般的な従業員協定は秘密保持契約 (NDA) と非競争契約 (NCA) です。

1• 機密保持契約 (NDA)

2 • 非競争協定 (NCA)

NDA および NCA に加えて、従業員は、利用規定 (AUP)、行動規範、利益相反ポリシーなど、組織の他の要件に署名することが求められる場合があります。

入社後は、まず雇用契約書に署名する必要があります。役職によっては、従業員に応じて秘密保持契約書 (NDA) と非競争契約書 (NCA) に署名する必要があります。位置。次に、組織文化、戦略、プロセス、スキルなどを含むトレーニングを従業員に提供します。

マネージャーは、各従業員の職務内容、タスク、権限、および責任を、従業員のポジション全体にわたって定期的にレビューまたは評価し、そのポジションの要件を満たしていることを確認する必要があります。

•権限クリープ（権限ドリフト）：従業員の仕事内容が増えると、そのポジションの要件を超える権限を取得する場合があります。

•強制休暇: 虐待、詐欺、または過失を検出するために、従業員に 1 ～ 2 週間仕事を離れ、他の従業員と交代することを義務付けます。

•共謀: 摘発されるリスクが高いため、職務の分離、強制休暇、ジョブローテーション、クロストレーニングなどの手段を通じて、従業員が違法または虐待的な計画に喜んで協力する可能性を減らします。

• ユーザーおよびエンティティの行動分析 (UEBA): ユーザーおよびエンティティを分析して、人材管理計画の最適化を支援します。

従業員が退職する場合には、次の点に注意する必要があります。

サプライヤー、コンサルタント、請負業者の契約と管理 複数のエンティティまたは組織がプロジェクトに関与している場合、マルチパーティ リスクが存在します。サービス レベル アグリーメント (SLA) は、サプライヤーの製品またはサービス レベルが期待を満たしていることを保証します。期待を満たさない場合は、サービスの品質を保証するために補償が発生します。サプライヤー、コンサルタント、請負業者はアウトソーシングと呼ばれることもあります。組織は、ベンダー管理システム (VMS) を通じてアウトソーシング管理の効率を向上させることもできます。

人員のセキュリティ管理は、PCI DSS などの法規制要件を満たす必要があります。

人員のセキュリティ管理は、GDPR などのプライバシー ポリシーの要件を満たす必要もあります。

情報を保護し、脅威から守る義務があることを従業員に思い出させ、従業員の行動が精査される可能性があることを認識する必要があります。

再割り当て時に不要になったアクセス権を削除し、最小特権の原則に従います。

退職は自発的退職と非自発的退職に分けられます。従業員が円満退職する場合は、組織の離職手続きを行うだけで十分です。

非自発的分離の場合は、組織の資産を保護するために適切な措置を講じる必要があります。

•退職面接、署名されたNDAおよびその他の関連契約のリマインダー

•従業員に解雇を通知し、離職チェックリストのチェックを実施しながら、システムへのアクセスを閉鎖する

•残りの従業員に、解雇された従業員が今後組織に加わることを許可されないことを通知します。

分離チェックリストには、アクセス権の取り消し、キー、バッジ、機器、書類の回収が含まれます。

- アクセス制御の実装

文書交換の口頭審査

メンテナンスフック (バックドア) の管理と監視

現地査定を実施

プロセスとポリシーを確認する

サービスレベル契約の策定

• 従業員トレーニング: ポリシーへのコンプライアンスを確保するために、従業員およびその他の関係者に初期および定期的なトレーニングを提供します。

•セキュリティ意識: 情報セキュリティに対する注意と理解を向上させます。

• 職務関連トレーニング: 従業員の職務要件に基づいて特定のトレーニングを提供します。

•ポリシーの結果を明確にする: ポリシーに、懲戒処分、停職、解雇など、コンプライアンス違反の潜在的な結果を明記します。

• 法律および規制の遵守: 組織のポリシーが適用される法律、規制およびその他の法的義務に準拠していることを確認します。

• ポリシーの一貫性: 組織の要件、管理、手順はポリシーと一致している必要があります。

•最小限化の原則: 正当な雇用プロセスを完了するために必要な情報のみを収集します。

• アクセス制限: そのような情報を知る必要がある人にのみアクセスを提供します。

• 暗号化を使用する: 異常なチャネルから情報が読み取られるのを防ぐために、可能な限り暗号化技術を使用します。

•固有のリスクとは、管理措置が実施される前に存在するリスクのことです。

•残留リスクとは、管理が実施された後に残るリスクのレベルです。

ハッカー、不満を抱いた従業員、自然災害など、意図的または意図せずに資産のセキュリティを侵害する可能性のある個人または団体。

システムの弱点や脆弱性は、脅威アクターによって悪用された場合にリスクを引き起こす可能性があります。

資産とは、人、財産、情報など、価値のあるものすべてです。

リスクは、脅威、脆弱性、資産の交差点です。リスク評価は、潜在的な脅威と脆弱性を特定し、特定された脆弱性を悪用する脅威の影響と可能性を判断することを含む一連のアクティビティです。

1. リスクの特定: 資産と組織にとってのその価値を特定する

2. リスク分析: 脅威が脆弱性を悪用する可能性を判断します。

3. リスク評価: これらの潜在的な脅威がビジネスに与える影響を判断します。

4. リスクへの対応: 脅威の影響と対策コストの間の経済的バランスを提供します。

まず、組織の資産を特定してその価値を判断し、次に資産にリスクをもたらす脆弱性と脅威を特定して説明します。

リスク分析は脆弱性評価と脅威分析から始まり、リスクが発生する可能性を計算し、その影響に応じてリスクをランク付けします。

1.10.2.4.1 定性的リスク分析

1.10.2.4.2 定量的リスク分析

リスクの一因となる活動やテクノロジーを停止または削除することで、特定されたリスクを排除します。

政策および技術的対策を実施することにより、リスクが引き起こす可能性のある損害を軽減します。

リスク割り当て (Risk Assignment0) とも呼ばれ、リスク関連の責任と潜在的な損失を第三者に譲渡します。

一般的な方法: 保険に加入する。

リスクを回避、軽減、移転するためのコストが、現実の脅威によって予想される損失を超える場合、リスクを受け入れることが選択肢になります。

・人事関係：

・経営関連

•テクノロジー関連:

•物理関連:

予防、検知、是正の観点から認識を検証し、リスク対策の実効性を確保します。たとえば、暗号化で特定のリスクを解決できない場合は、バックアップを検討するなど、別のアプローチを試してください。

セキュリティ対策のコストが、保護される資産の価値に見合ったものであることを確認してください。

誤った使用によるリスクの増大を避けるために、対策の導入と使用が難しすぎるかどうかを検討してください。

•予防: ファイアウォール、システム バックアップ、IPS などのインシデントの発生を防ぎます。

•検出: イベントアクティビティと 1DS などの潜在的な侵入者を特定します。

•修正: パッチ適用など、インシデント発生後のコンポーネントまたはシステムの修復。

•脅威: フェンスや警察犬などの潜在的な攻撃者を思いとどまらせます。

• リカバリ: システムやデータのバックアップ、災害復旧サイトなど、環境を通常の動作状態に戻すこと。

•補償: 代替の制御手段を提供します。

•検査: 評価者は通常、レビュー、検討、観察、調査または分析のためにセキュリティ ポリシー、構成ファイルなどのリストを提供し、予備的意見を形成することを組織に要求します。

•面接: 評価者は主要な関係者と会い、実施されているセキュリティ管理とその運用方法について詳しく学びます。

。テスト: テストでは、セキュリティ管理が文書どおりに実装され、効果的であり、期待どおりに動作することを確認します。

内部監査（自己評価など）

•外部監査（規制当局やその他の第三者監査など）

•組織のリスクプロファイルの重大な変化

•セキュリティまたはプライバシー管理の大幅な変更

•関連または確認されたセキュリティ侵害（またはその他のインシデント）

通常、次の 5 つのレベルが含まれます。

NIST800-37Rev.2 のリスク管理フレームワーク (RMF) の 6 つの段階:

脅威モデリングを早期に実行するほど、コスト効率が高くなります。大きく分けて以下の3つの側面から

1.

2.

3.

4. DREAD (非推奨、損傷、複製可能性、悪用可能性、影響を受けるユーザー、発見可能性による脆弱性の定量的リスク ランキング)

5. 他の脅威モデリング手法

•なりすましID

・データ改ざん（データ改ざん）

•否認

•情報開示

•サービス拒否

•特権の昇格

PASTA は、ビジネス目標と技術要件を組み合わせた脅威モデリングへのリスクベースのアプローチであり、上級管理職にとって出力がより理解しやすくなります。 STRIDE とは異なり、PASTA アプローチは厳密には、脅威を特定して軽減するための強力なプロセスを提供する脅威特定フレームワークです。

PASTA プロセスは次の 7 つの段階で構成されます。

不良部品や規格を満たしていない部品の画像

偽造品または偽造部品

ファームウェアレベルのマルウェアを含む電子コンポーネントの画像

トロイの木馬が埋め込まれた

使用されているコンポーネントライブラリに脆弱性があります

データ漏洩

1.NIST IR 7622

2.ISO28000

3. 英国国立サイバーセキュリティセンター (NCSC) のガイダンス

ソーシャル エンジニアリングは、攻撃者が他人になりすまして機密情報を入手する操作戦術です。

フィッシングはソーシャル エンジニアリングの最も一般的な形式であり、セキュリティ リスクの主な原因です。

安全チャンピオンは安全に関するベストプラクティスの提唱者であり、安全を主な仕事としない従業員です。

ゲーミフィケーションとは、ゲーム要素をゲーム以外の状況に適用して、対象ユーザーを引きつけ、教育することです。

トレーニング完了率、参加者数、その他の簡単な指標など。

クイズはトレーニングの効果を評価する効果的な方法です。

「セキュリティ啓発デー」は、匿名のアンケートを通じてセキュリティ プログラムに関する従業員の意見や提案を収集しながら、セキュリティ意識を高めることを目的としています。

評価方法には、トレーニング後にセキュリティ インシデントまたは報告されたフィッシングの疑いのあるインシデントの数の増減を収集することが含まれます。