- 審査員A：重要視する要素（CIAのいずれか一つ）だけで評価しても構わない。
- 審査員B：CIAを完全に独立して評価すること。
- 審査員C：上のどちらでも構わないし、C*I*Aでも、C*C*I*Aでも、C+I+Aでも構わない。要は組織が納得して決めている方法なら問わない。
当初は工数のかからない方法をとり、善事改善のアプローチを取るのが普通の感覚。
リスクアセスメントの合理性
資産の重要性評価ロジックは素直に、C,I,A個々の評価であるにも拘らず妙なことをする組織が後を絶たない。資産を３色のフィルターで見る癖が人間にはないから無理も無いが、ISMSをやる以上は分けて見る目を持たないといけない。
当初は工数のかからない方法をとり、善事改善のアプローチを取るのが普通の感覚。
当初は工数のかからない方法をとり、善事改善のアプローチを取るのが普通の感覚。
過去 30 日間
-
帰る時はパソコンを仕舞う。とか？ サーバー室のコンソール端末。サーバー室って結構いろいろな人が出入りするし。
-
管理策の審査は項目数が多いために工数がかかる。網羅性の確保と工数制約の狭間で扱いが難しい。 審査員A: 網羅性を重視し特別に時間を割りあてて審査する。現場でないと確認できないもののみ現場。 審査員B： 工数重視。現場/部門審査の中で管理策の幾つかを潰す。 A,Bの是非は難しい。初...
-
規格ごとに定義が変わっていたら困るけど、時代が進めば定義も変わって当然。だから、規格とは別に整理すべきですね。 資産 (sset) 管理策 (control) 指針 情報処理施設（情報処理設備） 情報セキュリティ 情報セキュリティ事象(information security e...
-
＞ 当初は「ＩSMS認証規格」をベースにした事例スタディは今なお有意義であり、世の中のデジタル化の傾向が急速に拡大する中ではセキュリティセンスは誰にも欠かせないものと認識されるようになった。 ＩSMS認証審査をやる人は、規格をベースにしても、普通は自分の行為をベースにしないと、馴... -
外出時・出張時の重要情報 「業者先あるいは客先に出かけて、重要な情報（個人情報のかたまりなど）を受けとったらどうするか」という問題。 カバンに入れて注意して会社に戻る。これが普通。しかし、問題は、自宅に直帰する場合や、そのまま出張する場合。 複数のサイトを回る出張もあれば、複数の...
-
初回の審査でなければ前回審査時に対して変化点の確認を行う。 しかし、適用範囲に変更はありましたか」と聞いても駄目。適用範囲を理解していないから。噛み砕いて、一つ一つ聞いていくしかない。 4.2.1a) 適用範囲の変更の有無を確認する。事業、契約・法規制、ロケーション、資産、組織に...
-
情報の廃棄 リスク管理では捨てることが重要。余計なものを持たない。管理コストを下げる意味でも重要な概念。 情報には全て捨てる基準を設定しておくこと。その情報を手にしたときに捨てる時期が一目瞭然でなければ成らない。 （１）紙の1枚1枚に書く。やりすぎのケースもあるが。 ...
-
リスク評価の基本が案外出来ていない。何故だろう。無理解な審査員、コンサルタントが普通の思考を阻害しているとしか思えない。 情報セキュリティにおけるリスクとは、情報セキュリティを喪失した時に発生する被害額の期待値。 情報が全く入っていないインストール前のパソコンなら、被害額はパソコ...
-
｜文書の変更はありましたか？ 文書は定期的に見直す見直し規定がある。その手順に乗っているかどうか。 版管理・更新管理・保管/廃棄管理・周知・承認について確認。 4.3.2文書管理のa)～j)の確認
-
管理策の当て方： ・主プレイヤー（主）はルールを作る。機能別管理をする。 ・客プレイヤー（客）はルールを受け入れて実施する。 Ａ.5：（主） 経営者、 事務局 。（客）一般従業員。取引先。 Ａ.6：（主）経営者、 事務局 。（客）部門の長。 Ａ.7：（主） 事務局 。（客）一般従...
過去 1 年間
-
規格ごとに定義が変わっていたら困るけど、時代が進めば定義も変わって当然。だから、規格とは別に整理すべきですね。 資産 (sset) 管理策 (control) 指針 情報処理施設（情報処理設備） 情報セキュリティ 情報セキュリティ事象(information security e...
-
帰る時はパソコンを仕舞う。とか？ サーバー室のコンソール端末。サーバー室って結構いろいろな人が出入りするし。
-
管理策の審査は項目数が多いために工数がかかる。網羅性の確保と工数制約の狭間で扱いが難しい。 審査員A: 網羅性を重視し特別に時間を割りあてて審査する。現場でないと確認できないもののみ現場。 審査員B： 工数重視。現場/部門審査の中で管理策の幾つかを潰す。 A,Bの是非は難しい。初...
-
外出時・出張時の重要情報 「業者先あるいは客先に出かけて、重要な情報（個人情報のかたまりなど）を受けとったらどうするか」という問題。 カバンに入れて注意して会社に戻る。これが普通。しかし、問題は、自宅に直帰する場合や、そのまま出張する場合。 複数のサイトを回る出張もあれば、複数の...
-
＞ 当初は「ＩSMS認証規格」をベースにした事例スタディは今なお有意義であり、世の中のデジタル化の傾向が急速に拡大する中ではセキュリティセンスは誰にも欠かせないものと認識されるようになった。 ＩSMS認証審査をやる人は、規格をベースにしても、普通は自分の行為をベースにしないと、馴...
-
初回の審査でなければ前回審査時に対して変化点の確認を行う。 しかし、適用範囲に変更はありましたか」と聞いても駄目。適用範囲を理解していないから。噛み砕いて、一つ一つ聞いていくしかない。 4.2.1a) 適用範囲の変更の有無を確認する。事業、契約・法規制、ロケーション、資産、組織に...
-
リスク評価の基本が案外出来ていない。何故だろう。無理解な審査員、コンサルタントが普通の思考を阻害しているとしか思えない。 情報セキュリティにおけるリスクとは、情報セキュリティを喪失した時に発生する被害額の期待値。 情報が全く入っていないインストール前のパソコンなら、被害額はパソコ...
-
情報の廃棄 リスク管理では捨てることが重要。余計なものを持たない。管理コストを下げる意味でも重要な概念。 情報には全て捨てる基準を設定しておくこと。その情報を手にしたときに捨てる時期が一目瞭然でなければ成らない。 （１）紙の1枚1枚に書く。やりすぎのケースもあるが。 ...
-
「管理策」 暗号利用の方針を決めろ。と。 「解説」 これ単に方針を決めればいいのかな。方針自体の妥当性・合理性・必然性なども必要ですか。”我が方では暗号は使いません”って宣言するだけでもいいの？ 一方で、使う気も無いのに（方針に関係なく）、外部サービスとか、購入したツールが使っ...
-
審査に出かける前に、訪問先の部署の概要を把握することは、多くの場合、ＷＥＢサイトから容易に出来る。その特徴を踏まえて、予めどの管理策についてチェックするかプランを用意することは、初心者には有効。内部監査の場合は、事務局が用意することが多いが、主体的取り組みを是とするなら、監査員自...
人気の投稿
-
外出時・出張時の重要情報 「業者先あるいは客先に出かけて、重要な情報（個人情報のかたまりなど）を受けとったらどうするか」という問題。 カバンに入れて注意して会社に戻る。これが普通。しかし、問題は、自宅に直帰する場合や、そのまま出張する場合。 複数のサイトを回る出張もあれば、複数の...
-
規格ごとに定義が変わっていたら困るけど、時代が進めば定義も変わって当然。だから、規格とは別に整理すべきですね。 資産 (sset) 管理策 (control) 指針 情報処理施設（情報処理設備） 情報セキュリティ 情報セキュリティ事象(information security e...
-
情報の廃棄 リスク管理では捨てることが重要。余計なものを持たない。管理コストを下げる意味でも重要な概念。 情報には全て捨てる基準を設定しておくこと。その情報を手にしたときに捨てる時期が一目瞭然でなければ成らない。 （１）紙の1枚1枚に書く。やりすぎのケースもあるが。 ...
-
＞ 当初は「ＩSMS認証規格」をベースにした事例スタディは今なお有意義であり、世の中のデジタル化の傾向が急速に拡大する中ではセキュリティセンスは誰にも欠かせないものと認識されるようになった。 ＩSMS認証審査をやる人は、規格をベースにしても、普通は自分の行為をベースにしないと、馴...
-
帰る時はパソコンを仕舞う。とか？ サーバー室のコンソール端末。サーバー室って結構いろいろな人が出入りするし。
-
管理策の審査は項目数が多いために工数がかかる。網羅性の確保と工数制約の狭間で扱いが難しい。 審査員A: 網羅性を重視し特別に時間を割りあてて審査する。現場でないと確認できないもののみ現場。 審査員B： 工数重視。現場/部門審査の中で管理策の幾つかを潰す。 A,Bの是非は難しい。初...
-
初回の審査でなければ前回審査時に対して変化点の確認を行う。 しかし、適用範囲に変更はありましたか」と聞いても駄目。適用範囲を理解していないから。噛み砕いて、一つ一つ聞いていくしかない。 4.2.1a) 適用範囲の変更の有無を確認する。事業、契約・法規制、ロケーション、資産、組織に...
-
リスク評価の基本が案外出来ていない。何故だろう。無理解な審査員、コンサルタントが普通の思考を阻害しているとしか思えない。 情報セキュリティにおけるリスクとは、情報セキュリティを喪失した時に発生する被害額の期待値。 情報が全く入っていないインストール前のパソコンなら、被害額はパソコ...
-
「目的」 法律違反回避でしょっ？
-
セキュリティ要求事項：これは大事なキーワード。ただ一般的過ぎて単に要件と言うのと変わらなくなるが。 情報セキュリティを始めるには情報セキュリティ要求事項の識別から始めることになる。 情報セキュリティ要求事項の識別方法： 1. 組織のリスクアセスメント。ニュアンス的には組織自体が持...