ISO/IEC DIS 27005:2021

ー４．リスク対応ー はじめに １）リスク対応とは ２）具体的な実施方法 ２－１）リスク対応方針の決定 ① リスクを生じさせる活動を開始又は継続しないと決定することによってリスクを回避する ② ある機会を追求するために、リスクを取る又は増加させる ③ リスク源を除去する ④ 起こりやすさを変える ⑤ 結果を変える ⑥ （例えば、契約、保険購入によって）リスクを共有する ⑦ 情報に基づいた意思決定によって、リスクを保有する ２－２）管理策の採否と優先度の決定 ① 組織に及ぼす影響度によるレベル分け（NIST SP800-53B） ② 組織の規模によるレベル分け（CIS Controls） ③ 管理…

ー３．３．リスク評価ー はじめに １）リスク評価とは ２）具体的な実施方法 ２－１）リスク受容可否の決定 ２－２）リスク許容について ２－３）リスク対応優先度の決定 まとめ 参考資料 脚注 はじめに 情報セキュリティリスクマネジメントのリスク評価プロセス（図中の赤枠部分）について、主要なガイドラインを参考に自分なりに解釈した内容を、なるべく具体的に残しておきます。 図１ リスクマネジメントプロセス上の リスク評価 の位置付け 注）なお、本稿は筆者が文献の参照と経験に基づき独自に解釈した内容のため、認識が間違っている可能性があります。（誤りに気付いた方は、コメントいただけると幸いです） １）リス…

ー３．２．リスク分析ー はじめに １）リスク分析とは ２）具体的な実施方法 ２－１）起こりやすさの分析 ① 接触頻度（Contact Frequency） ② 実行の発生確率（Probability of Action） ③ 脅威の能力（Threat Capability） ④ 抵抗力の強さ（Resistance Strength） ⑥ 二次損失の発生頻度（Secondary Loss Frequency） ２－２）結果の分析 ⑤ 一次損失の大きさ（Primary Loss） ⑦ 二次損失の大きさ（Secondary Loss Magnitude） ２－３）リスクレベルの算定 まとめ 参考資料…

ー３．１．リスク特定ー はじめに １）リスク特定とは ２）組織及びその内外の状況の理解 ① 組織内標準 ② 内部の現状 ③ 外部の現状 ④ 内部の変化 ⑤ 外部の変化 ３）リスク特定の実施例 ３－１）リスクの特定 ３－２）リスク所有者の特定 まとめ 参考資料 脚注 はじめに 情報セキュリティリスクマネジメントのリスク特定プロセス（図中の赤枠部分）について、主要なガイドラインを参考に自分なりに解釈した内容を、なるべく具体的に残しておきます。 図１ リスクマネジメントプロセス上の リスク特定 の位置付け 注）なお、本稿は筆者が文献の参照と経験に基づき独自に解釈した内容のため、認識が間違っている可能…

ー２．状況の設定ー はじめに １）状況の設定とは ２）方針策定時に考慮すべき点 ２－１）組織及びその内外の状況 ２－２）情報セキュリティ方針（その他、組織内の上位方針） ３）方針で明らかにすべき点 ３－１）役割と責任 ３－２）実施のタイミング ３－３）実施手法 ３－４）リスクの重大性を決定するための基準 ① リスクの構造 ② リスクの重大性を評価する指標 ③ リスク因子の関係 ④ ベースライン管理策 ３－５）リスクが受容可能かどうかを決定するための基準 ３－６）リスク対応の選択肢 ３－７）その他の考慮すべき事項 まとめ 参考資料 脚注 はじめに 情報セキュリティリスクマネジメントの状況の設定プ…

ー１．リスクの定義ー はじめに １）リスクとは １ー１）リスクに関する一般的なイメージ １ー２）情報セキュリティリスクとは？ １ー３）情報セキュリティの目的とは？ ① ISMSの実施目的 ② 情報セキュリティ目的 １ー４）情報セキュリティリスクマネジメントとは？ まとめ 参考資料 脚注 はじめに 以前から各ブログで述べているようにセキュリティマネジメントはリスクマネジメントに基づき実施することで合理的な運用が可能になります（不要な管理策や無駄な管理策の重複を避ける効果が期待できます）。 そのためセキュリティ関連のガイドラインを発行している主な組織からもリスクベースでセキュリティマネジメントを実…

はじめに 「情報及びその他関連資産の目録」とは？ 具体的な実施例 管理責任について 目録により管理すべき資産の種類 目録により管理すべき項目 まとめ 参考資料 その他 参考資料 脚注 はじめに 情報セキュリティのための管理策の中で組織的対策として分類されている「情報及びその他関連資産の目録」について、主要なガイドラインを参考になるべく具体的かつ簡潔に残しておきます。 「情報及びその他関連資産の目録」とは？ 早速、ISMSに基づく管理策の指針として使われることの多い ISO/IEC 27002:2022 に記載されている内容を確認してみます。 ISO/IEC 27002:2022 5.9 Inv…