待てよ、これらは、まあ、年次だわね。普通、システムを監視していて、手直しの判断を年次でやる会社は無いでしょう。ミニマム月次で報告レビューでしょう。厳しい会社、変化の多い会社なら週次になります。勿論、大型投資･戦略的なシステム変更は年次に近いものでも止むを得ないでしょうが。
しかし、しかしです。測定基準・評価基準の見直しは年度の途中でやると変になる。見直しの材料は短いインターバルで集めて良いが、根っこの見直しは年次でも良いでしょう。
と言うことは、ここの管理策の肝は、見直しの材料として、十分であったかどうかですね。
「見直し材料」
- セキュリティ監査の結果
- インシデント
- 有効性測定の結果
- 提案
- 利害関係者からのフィードバック
