Security 1st

セキュリティのことを第１に考える訓練をしてみる。

何らかの事象（事態、状況、事件、事故、現象など）を捉えて、セキュリティ上の問題課題とその対応をクリアにする訓練。

事象を捉える視点、問題を捉える目線は、基本的にはＩＳＭＳ規格をベースにする。事象におけるセキュリティ問題を明らかにするために発するクエスチョンは規格項目番号を念頭において行わなければならない。

そのクエスチョンに対する回答はどのようなものが期待されるかも合わせて示さなければ役に立たないだろうが、審査員とコンサルタントでは踏み込みの度合いあるいはスタンスは変わってくるが、組織オーナーとして有用なものを示すことが必要。

◆1.プロセスの理解

事象の顛末、事業概要、業務概要をプロセスとして捉え理解する。この場合、プロセスモデルはＩＤＥＦ０の手法が分かり易い。ＩＣＯＭの４要素、プロセスオーナー～問題の所有者、目的～視点～問題の２要素。全部で６要素を理解する。時系列で、人、物、金、情報の流れを把握する。

◆2.セキュリティリスクの想定

プロセス理解の過程で、全てのセキュリティリスクの想定する。具体的には、プロセス概要の説明を受けながら、懸念されること、押さえで確認すべきことをリストする。

◆Ｑ＆Ａ

当該プロセスで適切なセキュリティ上の管理策がとられているかどうかを質問する。ここは高等技術が要求される。セキュリティリスクの仮説に基づいてプロセスの詳細を聞きただす作業になるからだ。大きな塊のプロセスに漠然とリスク懸念をぶつけても、管理策の課題は拾えない。第１段階審査になってしまいます。

管理策のサンプリングチェックです。ここでは、全体（各セッション合計）としてカバーできていれば良いが、規格の大項目は全て網羅させて置きたい。

◆ベストプラクティスの用意

質問をして相手が正解を答えてくれれば良いが、規格を理解できていない場合は、或いは問題は理解していても方法論、解法を知らない場合は、適切な指針が必要。業界事例としてのベストプラクティスの提示が求められる。