【リスクマネジメントにおいて大切なポイント】
【リスクマネジメントにおいて大切なポイント】
・１つのリスクに対する対策は網羅的であること
⇒個人情報が記載されたファイルA・B・Cには暗号化処理を実施しているが、
Dには暗号化処理がされていない。
*網羅性がないのでリスク対策を実施しているとは言えない
・現在抱えているリスクの中で、一番弱い部分を強化すること。
それが全体のセキュリティレベルを上げる。
⇒winny等、P2Pを介するウイルス対策を強化していれば、PC初心者からの個人情報漏洩は防げたかもしれない。
*リスクに対し、強化すべき部分とは「ヒトの心・モラル」かもしれない。
間違い・意見等ありましたらぜひコメントを(・ω・)/
【脆弱性を取り除くには】
【情報資産を保護するには(極論)】
・情報資産を持たない → 情報資産をなくす
・情報資産を狙う者を全員逮捕する → 脅威をなくす
・情報資産を盗まれないように仕掛けを作る → 脆弱性をなくす
「情報資産をなくす」 ＝ 商売できない
「脅威をなくす」 ＝ 不可能に近い(「完全」は存在しない)
「脆弱性をなくす」 ＝ ヒト・モノ・カネ・アイデアを投資することで実現可能
【脆弱性を取り除くには】
１．情報資産を洗い出す
２．情報資産ごとに脅威を洗い出す
３．脅威に対する脆弱性を洗い出す
４．脆弱性に対する対策を実施する
---------------------------------------------------
１． 情報資産： 個人情報
２． 技術的脅威： クラッカー、ウイルス、バグetc
物理的脅威： 自然災害、停電、盗難etc
人的脅威： なりすまし行為、ユーザの過失・ミスetc
３． 技術的脆弱性： セキュリティーホール、通信を暗号化していない、 ウイルスソフトの未導入
物理的脆弱性： バックアップなし、コンティンジェンシープランなし、UPS(無停電電源装置)なし、
警備員・入退出対策なし
人的脆弱性： アカウント管理ができていない、フールプルーフができていない
４． 技術的対策： セキュリティバッチの適応、通信の暗号化、ウイルスソフトの導入
物理的対策： バックアップを取る、コンティンジェンシープランの作成、UPSの導入、入退出管理対策の導入
人的対策： アカウント管理の徹底、フールプルーフの徹底
ウチの現場もISMS審査を皮切りに、アカウント管理の徹底を実施しました。
共通アカウントから個人アカウントへ。小さなことですが、責任を持たせる意味では効果大みたいです。
間違い・意見等ありましたらぜひコメントを(・ω・)/
用語【コンティンジェンシープラン】【フールプルーフ】
【コンティンジェンシープラン】
・緊急時対応策のこと。
災害・戦争等の緊急時対応策のこと。
【フールプルーフ】
・ユーザが誤ったオペレーションを行っても、システムに致命的な影響がないように、
設計段階から安全対策すること。
*よくシステムを理解していない人が扱っても安全であること。
【リスクの三大要素とは】【３つの脅威とは】
【リスクの三大要素とは】
１．情報資産 (守りたいもの)
２．脅威 (損失をもたらすもの)
３．脆弱性 (損失を招く弱点)
*三つが揃って初めて「リスク」が発生する。
情報資産を「俺の女」として、脅威「俺の女を狙う男」だとすると。
その脆弱性は「ディズニーランド(女の職場)」となる。
その心は。
・俺が女に仕事を辞めてくれと言えない(女が好きで働いているから)
・飢えた男がたくさんいる
・俺が現場に行って男共を制止できない
こういうことなのか？
いまいち脆弱性の観念が曖昧だ。
【３つの脅威とは】
１．技術的脅威 (ハッカー・クラッカー、ウイルス、バグetc)
２．物理的脅威 (自然災害、停電、盗難etc)
３．人的脅威 (なりすまし行為、ユーザの過失・ミス)
*脅威は情報資産によって違う
「脅威は情報資産によって違う」を検証
＜個人情報に対する脅威＞
１．クラッカー
２．停電・戦争・盗難・自然災害
３．内部犯(派遣SE)・共通アカウント作業者・作業マニュアルを無視する作業者
＜俺の女に対する脅威＞
１．ディズニー通の話し上手な妻夫木くん似の男
２．誘拐、事故、自然災害、病気
３．浮気、不倫
間違い・意見等ありましたらぜひコメントを(・ω・)/
【情報セキュリティとは】 【情報資産のCIAについて】
【情報セキュリティとは】
会社が守るべき情報資産を、内外からの脅威から保護し、安全に経営をしていくための活動・仕組み
個人情報に不正アクセスされないように、
・虹彩認証ゲートを設けたり
・サーバへの全アクセスログを自動生成する仕組み
等、お金やアイデアを投資することで情報資産を守りつつ安全にビジネスする活動・仕組み。
【情報資産のCIAについて】
１．機密性(Confidentiality)： 正当に許可された人のみ、その情報にアクセスすることができるということ。
→・監査者と報告対象者のみに監査報告をするように、
一つの情報資産について知ることができる人間は精査されているべきということ。
２．完全性(Integrity)： 情報資産が完全な状態であること。内容が正確であるということ。
*ユーザのミスや自然災害によるデータ破損を防ぐことも含まれる。
→・作業者が自分の作業内容を改竄することができないように、
アクセスログを自動生成、且つ暗号化して有りのままの作業内容をログに残すということ。
→・停電や火災のことも考慮し、データの自動バックアップを随時行うということ。
３．可用性(Availability)： 必要な時に利用できる状態であること。
→・Aサーバがダウンして仕事ができなくなる事を防ぐために、
Bサーバと情報を同期し、代用できるようにしておくということ。
間違い・意見等ありましたらぜひコメントを(・ω・)/