ページ

A.12.5.5 外部委託によるソフトウエア開発

「管理策」
  • 外部委託開発の監督監視をやれ。と。
「解説」
  • 結構難しい。普通は定期的な報告で済ます。開発現場への立ち入りとかは嫌がることが多い。
  • それで、発注側はスペースを用意してそこで開発をやってもらうケースが多い。これだと一応監督監視できる。
  • 手間を掛けないのがアウトソースなのに監督監視で手間を掛けるのは現場は嫌がる。
「審査」
  • 委託開発契約書。監督監視に関する事項。必要時の監査権などは重要。
  • 契約前提の情報セキュリティ要求事項も。これはA.6.2.3に関連するかな。

過去 30 日間

  • プロセスベース審査
    審査に出かける前に、訪問先の部署の概要を把握することは、多くの場合、ＷＥＢサイトから容易に出来る。その特徴を踏まえて、予めどの管理策についてチェックするかプランを用意することは、初心者には有効。内部監査の場合は、事務局が用意することが多いが、主体的取り組みを是とするなら、監査員自...
  • A.05.1 情報セキュリティ基本方針
  • A.15.1.5 情報処理施設の誤用防止
    「管理策」 認可外利用の阻止。 「解説」 会社が貸与しているパソコンでゲームをやる。 サーバーに猥褻（わいせつ）なデータを保管する。 サーバールームを倉庫代わり、休憩室代わりに使う。 「審査」
  • 3　規格の構成
    3.1　箇条の構成 全部で１１か条。セキュリティカテゴリーって何かな。目的に相当するものかな。 基本方針（１） 組織（２） 資産（２） 人的セキュリティ（３） 物理的環境的セキュリティ（２） 通信及び運用の管理（１０） アクセス制御（７） 情報システムの取得・開発・保守（６） イ...
  • A.05 セキュリティ基本方針
    A.5.1　情報セキュリティ基本方針 方針を策定して文書化しなさい、レビューしなさいと言っているだけ。だな。 A.5.1.1　情報セキュリティ基本方針文書 実際の文書を見せてもらう。 A.5.1.2　情報セキュリティ基本方針のレビュー 改定履歴。
  • A.13.2.3 証拠の収集
    「管理策」 インシデント後の法的処置がある場合は、証拠の収集、保全、提出を行う。 「解説」 インシデント毎に何を証拠として収集・保全するのか、予め決めておかないと対応できない。
  • A.11.2 利用者アクセス管理
    「目的」 認可者へのアクセスの確実化、非認可者のアクセスの禁止 「解説」
  • ｜文書の変更はありましたか？
    ｜文書の変更はありましたか？ 文書は定期的に見直す見直し規定がある。その手順に乗っているかどうか。 版管理・更新管理・保管/廃棄管理・周知・承認について確認。 4.3.2文書管理のa)～j)の確認
  • 4.3.1e)
    「要求」 文書化要求の一般。 ISMS要求文書の一つに「リスクアセスメント結果報告」を入れる。 「解説」
  • 審査の心得：質問の仕方3
    プロセスベース審査での質問の要領： IDEF0を参考にすると分かりよい。 プロセスの名前* プロセスのオーナー* プロセスのミッション* 組織構造（体制・人数規模・役割編成）* プロセス（内部の作業手順。５W1H) ** インプット（何処から何がインプットされるか。５W1H）**...

過去 1 年間

  • 審査比較：経営者インタビュー
    経営者インタビューが審査の１項目に入るが、取って付けたような時間で馴染めない。 審査員A： 規格「5　経営陣の責任」の項目を、約１ページの内容を忠実に聞いてくる。事前にここを聞くと言っているから構わないけど、型どおりでつまらないし、事務局に聞いてよ言いたい。 チェックリ...
  • ６　情報セキュリティのための組織
    6.1　内部組織 6.1.1　情報セキュリティに対する経営陣の責任
  • 外出時の重要情報
    外出時・出張時の重要情報 「業者先あるいは客先に出かけて、重要な情報（個人情報のかたまりなど）を受けとったらどうするか」という問題。 カバンに入れて注意して会社に戻る。これが普通。しかし、問題は、自宅に直帰する場合や、そのまま出張する場合。 複数のサイトを回る出張もあれば、複数の...
  • A.12.4.2 システム試験データの保護
    「管理策」 試験データを管理しなさいと。 「解説」 情報漏えい事件が発生する可能性の大きいところです。サンプリング、マスキング、速やかな削除、アクセス管理など。 開発者からすると後ろ向きに見えるので手を抜くのもこの辺です。加えて試験作業はよく外注する部分でもあります。それがまた事...
  • A.12.3.1 暗号による管理策の利用方針
    「管理策」 暗号利用の方針を決めろ。と。 「解説」 これ単に方針を決めればいいのかな。方針自体の妥当性・合理性・必然性なども必要ですか。”我が方では暗号は使いません”って宣言するだけでもいいの？　 一方で、使う気も無いのに（方針に関係なく）、外部サービスとか、購入したツールが使っ...
  • プロセスベース審査
    審査に出かける前に、訪問先の部署の概要を把握することは、多くの場合、ＷＥＢサイトから容易に出来る。その特徴を踏まえて、予めどの管理策についてチェックするかプランを用意することは、初心者には有効。内部監査の場合は、事務局が用意することが多いが、主体的取り組みを是とするなら、監査員自...
  • A.12.4 システムファイルのセキュリティ
    「目的」 システムファイルのセキュリティ確保 つまらないね。
  • 4.2.1a) 適用範囲
    4.2.1a) 適用範囲 適用範囲を少なくとも５つの観点から情報セキュリティとの関連で特徴を明らかにすること； ①事業、②組織、③ロケーション、④資産、⑤技術 ①顧客やパートナー企業との関連、ビジネスプロセス、商品・サービスの観点から、ＩＳＭＳの適用範囲を定義すること。 ②...
  • ｜適用範囲に変更はありましたか
    初回の審査でなければ前回審査時に対して変化点の確認を行う。 しかし、適用範囲に変更はありましたか」と聞いても駄目。適用範囲を理解していないから。噛み砕いて、一つ一つ聞いていくしかない。 4.2.1a) 適用範囲の変更の有無を確認する。事業、契約・法規制、ロケーション、資産、組織に...
  • A.12.3 暗号による管理策
    「目的」 情報の機密性、真正性、完全性を保護する。 「解説」 重要な情報は暗号を使え。

人気の投稿

  • 外出時の重要情報
    外出時・出張時の重要情報 「業者先あるいは客先に出かけて、重要な情報（個人情報のかたまりなど）を受けとったらどうするか」という問題。 カバンに入れて注意して会社に戻る。これが普通。しかし、問題は、自宅に直帰する場合や、そのまま出張する場合。 複数のサイトを回る出張もあれば、複数の...
  • 17799 2 用語及び定義
    規格ごとに定義が変わっていたら困るけど、時代が進めば定義も変わって当然。だから、規格とは別に整理すべきですね。 資産 (sset) 管理策 (control) 指針 情報処理施設（情報処理設備） 情報セキュリティ 情報セキュリティ事象(information security e...
  • 情報の廃棄
    情報の廃棄 リスク管理では捨てることが重要。余計なものを持たない。管理コストを下げる意味でも重要な概念。 情報には全て捨てる基準を設定しておくこと。その情報を手にしたときに捨てる時期が一目瞭然でなければ成らない。 （１）紙の1枚1枚に書く。やりすぎのケースもあるが。 ...
  • リプラン＠２０２１０７２６
    ＞ 当初は「ＩSMS認証規格」をベースにした事例スタディは今なお有意義であり、世の中のデジタル化の傾向が急速に拡大する中ではセキュリティセンスは誰にも欠かせないものと認識されるようになった。 ＩSMS認証審査をやる人は、規格をベースにしても、普通は自分の行為をベースにしないと、馴...
  • ｜適用範囲に変更はありましたか
    初回の審査でなければ前回審査時に対して変化点の確認を行う。 しかし、適用範囲に変更はありましたか」と聞いても駄目。適用範囲を理解していないから。噛み砕いて、一つ一つ聞いていくしかない。 4.2.1a) 適用範囲の変更の有無を確認する。事業、契約・法規制、ロケーション、資産、組織に...
  • A.11.3.2 無人状態にある利用者装置
    帰る時はパソコンを仕舞う。とか？ サーバー室のコンソール端末。サーバー室って結構いろいろな人が出入りするし。
  • 審査比較：管理策
    管理策の審査は項目数が多いために工数がかかる。網羅性の確保と工数制約の狭間で扱いが難しい。 審査員A: 網羅性を重視し特別に時間を割りあてて審査する。現場でないと確認できないもののみ現場。 審査員B： 工数重視。現場/部門審査の中で管理策の幾つかを潰す。 A,Bの是非は難しい。初...
  • リスク評価の基本
    リスク評価の基本が案外出来ていない。何故だろう。無理解な審査員、コンサルタントが普通の思考を阻害しているとしか思えない。 情報セキュリティにおけるリスクとは、情報セキュリティを喪失した時に発生する被害額の期待値。 情報が全く入っていないインストール前のパソコンなら、被害額はパソコ...
  • A.12.4 システムファイルのセキュリティ
    「目的」 システムファイルのセキュリティ確保 つまらないね。
  • A.15.1 法的要求事項の順守
    「目的」 法律違反回避でしょっ？