はじめに １．人の脆弱性を突く攻撃が増加する 脅威の概要 関連する管理策の例（ISO/IEC 27001:2022 Annex Aより） ２．ディープフェイクのサイバー攻撃への利用が増加する 脅威の概要 関連する管理策の例（ISO/IEC 27001:2022 Annex Aより） ３．アカウント…

ー サプライチェーン上のセキュリティリスク ー はじめに １．サプライチェーンのリスク要因 １．１．組織は供給者を直接管理できない １．２．サプライチェーンの全体像を把握することは困難 ２．サプライチェーン上のセキュリティリスクとは ２．１．サプ…

ー サプライチェーン上の情報の管理責任 ー はじめに 必要とされる背景 サプライチェーン上の情報の管理（保護）責任 デューケアの観点で考える管理責任 デューディリジェンスの観点で考える管理責任 まとめ 参考資料 脚注 はじめに 多くの組織では、「専門…

ー６．リスクコミュニケーションー はじめに １）リスクコミュニケーションとは ２）具体的な実施方法 ２－１）実施者（誰が） ２－２）実施目的（なぜ） ① リスクに関し正確な意思決定を行う ② リスクを監視する ③ 利害関係者と認識を共有する ④ 利害関係者…

ー５．モニタリング及びレビューー はじめに １）モニタリング及びレビューとは？ ２）具体的な実施例 ２－１）セキュリティリスクを適切にコントロールするため ① 脅威の検知 ② 脆弱性の特定 ③ 脅威情報の収集 ④ 脆弱性情報の収集 ⑤ 法・規制情報の収集 ⑥ …

ー４．リスク対応ー はじめに １）リスク対応とは ２）具体的な実施方法 ２－１）リスク対応方針の決定 ① リスクを生じさせる活動を開始又は継続しないと決定することによってリスクを回避する ② ある機会を追求するために、リスクを取る又は増加させる ③ リ…

ー３．３．リスク評価ー はじめに １）リスク評価とは ２）具体的な実施方法 ２－１）リスク受容可否の決定 ２－２）リスク許容について ２－３）リスク対応優先度の決定 まとめ 参考資料 脚注 はじめに 情報セキュリティリスクマネジメントのリスク評価プロ…

ー３．２．リスク分析ー はじめに １）リスク分析とは ２）具体的な実施方法 ２－１）起こりやすさの分析 ① 接触頻度（Contact Frequency） ② 実行の発生確率（Probability of Action） ③ 脅威の能力（Threat Capability） ④ 抵抗力の強さ（Resistance Stren…

ー３．１．リスク特定ー はじめに １）リスク特定とは ２）組織及びその内外の状況の理解 ① 組織内標準 ② 内部の現状 ③ 外部の現状 ④ 内部の変化 ⑤ 外部の変化 ３）リスク特定の実施例 ３－１）リスクの特定 ３－２）リスク所有者の特定 まとめ 参考資料 脚…

ー３．リスクアセスメントー はじめに １）リスクアセスメントとは？ ２）具体的な実施例 ２－１）リスクアセスメントの実施時期 ２－１－１）「あらかじめ定めた間隔」とは？ ２－１－２）戦略サイクルと運用サイクル ２－２）リスクアセスメントのアプロー…

ー２．状況の設定ー はじめに １）状況の設定とは ２）方針策定時に考慮すべき点 ２－１）組織及びその内外の状況 ２－２）情報セキュリティ方針（その他、組織内の上位方針） ３）方針で明らかにすべき点 ３－１）役割と責任 ３－２）実施のタイミング ３－…

ー１．リスクの定義ー はじめに １）リスクとは １ー１）リスクに関する一般的なイメージ １ー２）情報セキュリティリスクとは？ １ー３）情報セキュリティの目的とは？ ① ISMSの実施目的 ② 情報セキュリティ目的 １ー４）情報セキュリティリスクマネジメン…

はじめに 各用語の使用例 解釈した内容 Exposure Intrusion Breach Compromise Indicators of Compromise（IoC）について 偵察フェーズ 侵入フェーズ 遠隔操作フェーズ 横展開フェーズ 探索フェーズ 目的実行フェーズ まとめ 参考資料 脚注 はじめに セキュ…

はじめに 多層防御とは？ 具体的な実施例 １．攻撃シナリオに基づく多層防御 ２．管理策の種別に基づく多層防御 ３．管理策の機能に基づく多層防御 ４．具体的な実施例 多重防御について まとめ 参考資料 脚注 はじめに セキュリティリスクに対応するための…

はじめに ベースライン管理策とは？ 背景 組織内標準での位置付け 具体的な実施例 １．参照するベースラインカタログの選択 ２．管理策のテーラリング（tailoring） ２－１．共通管理策の識別と指定 ２－２．適用範囲の調整（scoping） ２－３．代替管理策の…

はじめに "risk acceptable" と "risk tolerable" の各文献での取り扱い ISO Guide 73 ALARP principle 結果 まとめ 参考資料 脚注 はじめに 海外のセキュリティ関連のガイドラインでは、リスク（特に残留リスク）を保有する場合、"risk acceptable" と "ris…