情報セキュリティガバナンス

https://manebi.co.jp/column/m-0057/

基本概念

コーポレートガバナンス: 企業の組織内部を管理・統治するという意味を持つコーポレートガバナンスは、株主や投資家、従業員などの利益を守るために重要な取り組みです。企業内の不正防止や透明性確保、財務報告の信用性を保つために、経営を統制し管理する機能・仕組みが必要です。
ITガバナンス: 企業経営に必要なIT戦略を立案したり、企画・実行したりする仕組みのこと。
情報ガバナンス: 企業が持つさまざまな情報（紙やDVD、CD-R、HDD、USBメモリ、クラウド上のデータなど、あらゆる情報・データ）を、企業の重要な資産として管理する仕組みのこと。
Security Governance : how security is managed, through policies, roles, and processes used to make security decisions.

コンプライアンス

コンプライアンスは法律やルールを厳守すること。ガバナンスは法律やルールを厳守させるための管理体制のことです。2つの言葉の関係性から、コンプライアンスはガバナンスに含まれるといってよいでしょう。

コンプライアンス研修、ガバナンス研修が必要

ガバナンスだからとルールや仕組みを押し付けるだけでは、従業員は面倒だからと、遵守しない可能性も考えられます。ガバナンスとコンプライアンスについて理解を深めることは、不祥事を未然に防ぐことにつながります。そしてこのことは企業にとって会社を守り、同時に成長を促すことから、従業員にとっても大きなメリットとなるのです。企業全体に「なんのために必要なのか」といった基本的な知識を持ってもらい、実施しなくてはなりません。

　Framework

日本経済産業省の「情報セキュリティガバナンス導入ガイダンス」によると、情報セキュリティガバナンスを確立するためのフレームワークは、次の５つで構成されています。 https://www.meti.go.jp/policy/netsecurity/docs/secgov/2009_JohoSecurityGovernanceDonyuGuidance.pdf

経営戦略やリスク管理の観点から行う「方向付け（Direct）」
ガバナンス活動の状況を指標に基づき可視化する「モニタリング（Monitor）」
結果を判断する「評価（Evaluate）」
これらのプロセスが機能していることを確認する「監督（Oversee）」
結果を利害関係者等に提示する「報告（Report）」

事例：伊藤忠商事株式会社、コマツ

https://www.ipa.go.jp/archive/jinzai/skill-standard/uiss/qv6pgp000000bu3w-att/000010538.pdf

rainit2006 commented 1 hour ago

自己宣言から始めましょう。中小企業のためのセキュリティアクション。

https://www.ipa.go.jp/security/security-action/sa/index.html 取り組み段階に応じて「★一つ星」と「★★二つ星」のロゴマークがあり、ロゴマークを無料で使えます。例えば、「★一つ星」のロゴを使用する場合は、以下の「情報セキュリティ5か条」に取り組むことが必要です。

①OSやソフトウェアは常に最新の状態にしよう！ ②ウイルス対策ソフトを導入しよう！ ③パスワードを強化しよう！ ④共有設定を見直そう！ ⑤脅威や攻撃の手口を知ろう！ 5つはすべて、必ず実行すべき重要なセキュリティ対策です。

★★二つ星中小企業の情報セキュリティ対策ガイドライン付録の「5分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで、情報セキュリティ基本方針*1を定め、外部に公開したことを宣言した中小企業等であることを示すロゴマークです。

「5分でできる！情報セキュリティ自社診断」 https://www.ipa.go.jp/security/sme/f55m8k0000001waj-att/000055848.pdf

rainit2006 commented 46 minutes ago

Important Governance Frameworks for Information Security Governance

COBIT (Control Objectives for Information and Related Technologies)
ITIL (Information Technology Infrastructure Library)
ISO/IEC 27014 (Governance of Information Security)

A security governance framework typically consists of the following components:

Information Security Policies: The foundation of a security governance framework. These policies outline the organization's approach to managing information security risks and provide guidelines for employees to follow.
Risk Management Processes: Identify, assess, and mitigate potential risks to the organization's sensitive information. These processes should be regularly reviewed and updated to ensure they are effective in protecting the organization's data.
Security Controls: Measures put in place to protect the organization's sensitive information such as firewalls and encryption.
Training and Awareness Programs: As one of the weakest entry points into an organization's security, it is essential to train employees on information security and the role they play in keeping sensitive data safe.
Incident Response Plan: A guide that explains what to do if there is a security problem including which teams to activate to respond and remediate the issue and reduce the harm caused.

rainit2006 / CISSP

IT Security governance #11