IT系【情報セキュリティマネジメント試験対策】（29） 情報セキュリティポリシー（5）「情報セキュリティ対策実施手順」
前回は、情報セキュリティ基本方針を具体化する「情報セキュリティ対策基準」について確認した。今回は、情報セキュリティポリシーの3階層構造の最下層にあたる「情報セキュリティ対策実施手順」を取り上げ、あわせて3階層構造全体のまとめを行う。実施手順...
情報セキュリティマネジメント試験
IT系
IT系【情報セキュリティマネジメント試験対策】（28） 情報セキュリティポリシー（4）「情報セキュリティ対策基準」
前回は、情報セキュリティポリシーの最上位に位置する「情報セキュリティ基本方針」について確認した。今回は、その基本方針を具体化する第2階層「情報セキュリティ対策基準」を取り上げる。対策基準は基本方針と実施手順をつなぐ「橋渡し」情報セキュリティ...
IT系情報セキュリティマネジメント試験対策（27） 情報セキュリティポリシー（3）「情報セキュリティ基本方針」
前回は、情報セキュリティポリシーの適用範囲について確認した。今回から、情報セキュリティポリシーを構成する3階層～基本方針・対策基準・実施手順～を取り上げる。今回は、最上位に位置する「情報セキュリティ基本方針」である。情報セキュリティポリシー...
IT系情報セキュリティマネジメント試験対策（26） 情報セキュリティポリシー（2）「適用範囲」
適用範囲はIT部門に限らない情報セキュリティポリシーは、まず大前提として 「全社の全部門およびすべての従業者」 を対象として適用される必要がある。 そのうえで、ポリシー策定時には 適用範囲を文書として明確に定義すること が求められる。適用範...
IT系情報セキュリティマネジメント試験対策（25） 情報セキュリティポリシー（1）「情報セキュリティポリシー」
情報セキュリティポリシーとは情報資産に対するリスクは、脅威と脆弱性が結びつくことによって発生する。リスクを適切な水準でコントロールするためには、脅威を把握し、脆弱性をなくす必要がある。これらの行為は個々の担当者レベルでも行われるが、それぞれ...
IT系情報セキュリティマネジメント試験対策（24）リスクマネジメント（4）「リスク対応」
リスク対応の手段リスク分析によって得られた結果 （潜在的なリスク） を顕在化させないために、リスク回避、リスク低減 (最適化)、リスク移転、リスク保有などの手段が講じられる。これらを総称してリスク対応とよぶ。また、リスク回避とリスク低減はリ...
IT系情報セキュリティマネジメント試験対策（23）リスクマネジメント（3）「リスク評価」
リスクの識別リスクアセスメントに先立ってリスクの識別を実施する。リスクの分析を行うためには、リスクが識別されている必要がある。識別されないリスクは分析から漏れるため、リスク識別は網羅的に行う。リスクの識別も含めてリスクアセスメントという場合...
IT系情報セキュリティマネジメント試験対策（22）リスクマネジメント（2）「手法の決定」
リスクアセスメントとは情報資産に対して、脅威や脆弱性が存在することでリスクは顕在化する。 経営活動を安全に行うためには、次の三つの手続きが不可欠である。現存するリスクを評価できる組織として許容できるリスクの水準を知る1と2の間にギャップが存...
IT系情報セキュリティマネジメント試験対策（21）リスクマネジメント（1）リスクマネジメントとは
リスクとはリスク＝脅威 × 脆弱性 × 資産価値リスクは脅威と脆弱性から発生するが、その危険度は個別のリスクによって変化する。危険度の高いリスクには、重点的に経営資源を投入し、危険度の低いリスクにはあまり経営資源を配分しないなど、メリハリの...
IT系情報セキュリティマネジメント試験対策（20）認証（6）「PKI」
デジタル署名の弱点デジタル署名は、メッセージ送信者が、受信者のもつ公開鍵とペアになる秘密鍵をもっていることを証明する。しかし、この秘密鍵をもっている人物が必ずしも本人ということにはならない。そもそも秘密鍵もそれとペアになる公開鍵も最初から偽...