サイバーハイジーンにおけるITセキュリティポリシーの定義

今回は「サイバーハイジーンにおけるITセキュリティポリシーの定義」についてご紹介します。

関連ワード (セキュリティにおけるグローバルガバナンス、特集・解説等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 本連載では、「情報セキュリティガバナンス」や「ITガバナンス」の中でもセキュリティ対策に関わる部分を全社的・グローバルに、かつスピーディーに企業へ展開できるガバナンスモデルについて解説する。

  前回の記事では、ITセキュリティポリシー導入における前提、最初に理解しておくべきガバナンスモデルや適用方針の全体像について説明した。今回は、各カテゴリーにおける「ポリシーの定義」について深掘りする。

 今回のポリシー定義では、前回の記事でも取り上げた米国標準技術研究所(NIST)のサイバーセキュリティフレームワーク(CSF)のカテゴリーを参考に、以下の4つのカテゴリーでポリシーの定義を進めていく。

 本稿では、まず「サイバーハイジーン領域」を深掘りしていく。なお、「ハイジーン」とは「衛生」の意味であり、サイバーハイジーンとは、一般の衛生管理と同じようにIT環境を健全な状態に保つ「サイバー空間の衛生管理の取り組み」を指す。このサイバーハイジーンを徹底することができれば、85%以上の不正攻撃を防御できるというデータもあり、サイバーハイジーンの重要性をご理解いただけるだろう。

「サイバーハイジーン領域」におけるポリシー

1.資産管理ポリシー:ITセキュリティに関連する資産管理・構成管理のポリシー定義
2.脆弱性対応ポリシー:脆弱性対応のポリシー定義
3.追加防御ポリシー:追加防御やセキュリティツールの稼働に関するポリシー定義

「サイバーレジリエンス領域」におけるポリシー(次回掲載予定)

4.有事の対応ポリシー:有事の対応に関するポリシー定義

 ITセキュリティポリシーの定義を進める際に、必ず決めておかなければいけないのが、「資産・構成管理ポリシー」である。なぜなら、外部からの多くのサイバー攻撃は「目に見えていない部分=管理されていない部分」をターゲットとしているからである。ITセキュリティポリシーを定義したり、更改を考えたりしている企業・組織は、ぜひ自社、自組織内で全ての対象が「可視化」されているか振り返っていただきたい。

 なお、ITセキュリティポリシー内の「資産管理ポリシー」は、あくまでもITセキュリティを実施する上で必要な項目にのみ限定される。もし資産管理・構成管理のポリシーが既にある場合は、既存の物を流用・引用し、作成していくことを推奨する。

 ITセキュリティにおける資産管理ポリシーでは、最低限以下の点を決めておく必要がある

 上記の項目をまとめていくと、最終的には以下の表のように情報が整理されていくだろう。「構成情報」の詳細項目については、次のページにある「脆弱性対応」や「追加の防御策」のポリシー内容によって、追加が必要になる。

 多くの企業・組織でほとんどの担当者が「既に資産管理・構成管理ができている」と話すが、そういった企業・組織でよく対応を忘れがちな点が「抜け漏れ対応」だ。

 購買部経由で機器を購入し、資産を登録しているので、資産管理では全ての機器が登録されていると考えている。しかし実際の現場では、企業や組織のユーザーが自身で購入した機器が勝手に会社のネットワークに接続されているケース、サービスや設備として購入したために機器が資産として登録されないまま会社のネットワークに接続されているケースにおいて、資産管理から抜け漏れしていることがよくある。

 このようなケースに対しては、社内のネットワークに接続されている機器をネットワークスキャンなどで把握しCMDBなどとの突き合わせを行う以外に方法はない。ネットワークスキャンで見つかった端末をどのように資産管理に登録し、管理下に置くかも重要な項目である。

 また、企業・組織における資産の健全性が保つため、ある一定期間ごとにネットワークスキャンで把握された機器と資産管理との突き合わせによる棚卸しの実施を強く推奨する。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
NECとオラクル、印西データセンターでクラウド専用線接続を開始
IT関連
2023-07-07 01:16
パーソルP&T、旭化成の「会議DX」を検証–参加者ごとの発話量をグラフで可視化
IT関連
2023-03-22 04:07
一大イベント「Windows 10サポート終了」にどう対応すべきか
IT関連
2025-02-26 03:18
ガートナー、データドリブンな組織に共通する「7つの特性」発表
IT関連
2022-06-23 06:23
国際ロボットコンテストに挑むアメリカの高校生たち
IT関連
2023-03-17 11:13
サイダス、LGWAN環境で「CYDAS」の利用が可能に–地方自治体の戦略人事を支援
IT関連
2024-02-24 23:39
開発者はリモートワークを望んでいる–企業が把握するべき効用とデメリット
IT関連
2022-01-25 09:55
IT人材育成と企業のデジタル活用を促進–信州ITバレー推進協議会の取り組み(後編)
IT関連
2023-03-14 02:14
トランプ氏支持者によるSNS「GETTR」、立ち上げ日に侵入される
アプリ・Web
2021-07-07 20:21
SCSK、AWSと戦略的協業–3つの重点施策で提供体制を強化
IT関連
2023-10-26 04:28
世界中のITエンジニアが悩まされている原因不明でテストが失敗する「フレイキーテスト」問題。対策の最新動向をJenkins作者の川口氏が解説(後編)。DevOps Days Tokyo 2022
CI/CD
2022-06-06 12:01
MS、「Windows 10」拡張セキュリティ更新プログラムを1年目61ドルで提供
IT関連
2024-04-05 07:02
アカマイ、「世界で最も分散されたクラウド」としてエッジコンピューティングに注力
IT関連
2022-03-03 17:05
マイクロソフト、フルマネージドな負荷テストサービス「Azure Load Testing」正式サービスとして提供開始
Microsoft Azure
2023-02-15 07:59