CISSP 第 1 章: 安全性とリスク管理の知識ポイント

Xmind を使用してナレッジ システム マップを作成し、簡単に参照できるようにここで png 画像形式をエクスポートします (ローカルに保存して高解像度の元の画像を表示できます)。

 

 

1. 安全とリスク管理の基本

基本知識

• CIA
  • 機密保持
    • 情報が保管、使用、送信中に権限のないユーザーや団体に開示されないようにする
  • 誠実さ
    • 不正な改ざんを防ぎ、許可されたユーザーによる情報の不正な変更を防ぎ、内部および外部の情報の一貫性を維持します。
  • 可用性
    • 許可されたユーザーまたはエンティティによる情報およびリソースの通常の使用が異常に拒否されないことを保証し、情報への信頼性が高くタイムリーなアクセスを可能にします。
• お父さん
  • 開示、改ざん、破壊

CIA関連テクノロジー

• 機密保持
  • データ暗号化（ディスク暗号化、データベース暗号化）
  • トランスポートの機密性 (IPsec、SSL、TLS、SSH)
  • アクセス制御 (物理的および技術的制御)
• 誠実さ
  • ハッシュ化 (データの整合性)
  • 構成管理 (システムの整合性)
  • 変更管理 (プロセス完了)
  • アクセス制御 (技術的および物理的制御)
  • ソフトウェアのデジタル署名
    • コード署名 (主な機能はコードの整合性を保護することであり、否認防止ではありません)
  • 伝送CRCチェック機能（多層ネットワーク伝送用）
• 可用性
  • 冗長ディスクアレイ (RAID)
  • 集まる
  • 負荷分散
  • 冗長データと電力線
  • ソフトウェアとデータのバックアップ
  • ディスクイメージ
  • 場所と敷地外での対策
  • ロールバック機能
  • フェイルオーバー構成

多層構造

• 多層防御
  • 複数の制御方法を組み合わせることで、1 つの制御の失敗がシステムやデータの漏洩につながることはありません

危機管理

3 つのセキュリティ制御メカニズムが多層防御方式で実装されています。リスク管理は情報セキュリティの中核概念の中核となる内容です

• 制御タイプ 3 クラス
  • 管理制御
    • 組織のセキュリティ ポリシーと法的規制 ポリシーと手順の例: ポリシー、手順、雇用慣行、身元調査、データ分類、データラベル付け、セキュリティ意識向上トレーニング、休暇記録、報告とレビュー、職務監視、人事管理、およびテスト。
  • テクニカル制御/ロジック制御
    • ハードウェアおよびソフトウェア制御の例: 認証方法、暗号化、制限されたインターフェイス、アクセス制御リスト、プロトコル、ファイアウォール、ルーター、IDS、およびしきい値
  • 物理的制御
    • 物理的にアクセス可能な対策の例: 警備員、フェンス、モーション検知器、施錠されたドア、密閉された窓、照明、ケーブル保護、ラップトップ ロック、バッジ、スワイプ カード、番犬、カメラ、罠、警報器
• 6種類の安全制御機能
  • 抑止制御
  • 予防管理
  • 検出制御
  • 補償制御
  • 修正制御
    • バックアップ、BCP、DRP
  • コントロールを取り戻す

GRC - ガバナンス、リスク、コンプライアンス

情報セキュリティマネジメント - PDCAモデル

• Plan 計画・実行 Do・check チェック・測定 Action
  • 1. リスク評価結果、法規制要件、組織の業務、運用上のニーズに基づいて管理目標と管理手段を決定します 2. 選択したセキュリティ管理手段を実装します。従業員の安全意識の向上 3. 方針、手順、基準、法令等に基づく安全対策の実施状況の確認 4. 汗拭き結果に対する対策を講じ、安全状況の改善を図る

機関情報の分類

• 営利企業 - 公開、機密、非公開、機密 (低から高)
• 軍事組織 - 機密だが非機密、機密、機密、極秘（低位から高位まで）

2. セキュリティ管理の枠組み

セキュリティ管理の開発

• Cobit IT 内部統制
  • Information Systems Audit and Control Association (ISACA) によって作成され、ガバナンス領域と管理領域に分けられます。
• NST 800-53 安全制御リファレンス

エンタープライズソリューション開発

• ISO/IEC 27001 情報セキュリティマネジメントシステム
  • BS7799を起源とする BS7799-1はISO27002に対応 BS7799-2はISO27001に対応
• ISO/IEC 27002 情報セキュリティマネジメントシステムのベストプラクティス - 目標フレームワーク ISO/IEC 27003 情報セキュリティマネジメントシステム実施ガイドライン ISO/IEC 27005 情報セキュリティリスクマネジメント

エンタープライズアーキテクチャの開発

• ザックマン氏、TOGAF エンタープライズ フレームワーク

安全なエンタープライズ アーキテクチャの開発

• SABSA 安全機関の枠組み

コーポレート・ガバナンス

• COSO エンタープライズ内部統制管理フレームワーク 内部統制 - 全体的なフレームワーク
  • 内部統制の5つの要素：環境管理、リスク評価、管理活動、情報通信、テスト
  • 多くの組織が SOX404 コンプライアンスに対応するためのフレームワーク

プロセス管理

• CMMI ソフトウェア開発管理
• ITIL ITサービス管理
  • 4つのプロセス: サービス戦略、サービス設計、サービス提供、サービス運用、継続的なサービス改善
• シックス シグマ ビジネス プロセス管理

適正な配慮

（DC、デュー・ケア、慎重な検討、デュー・ケア、デュー・ディリジェンス、中程度の懸念、中程度の慎重さ） デュー・ディリジェンス（DD、デュー・デリジェンス、デュー・デリジェンス、デュー・デリジェンス、デュー・デリジェンス、デュー・デリジェンス、中程度の慎重さ）

3. セキュリティポリシー

セキュリティ管理ドキュメントの階層

• ポリシー
  • 1. 最高レベルの戦略 2. 情報セキュリティに対する責任を負うという最高レベルのコミットメント 3. 保護すべき対象と目標の説明
  • 3種類のポリシー
    • 規制およびコンプライアンスポリシー
    • 挑発的な政策
    • 有益で有益なポリシー
• 標準
  • ポリシー実施のための強制メカニズムを確立する
• ガイドライン/ガイドライン
  • システムのセキュリティを強化するための標準や手法と同様に、彼は助言を行っています。
• セキュリティベースライン
  • ポリシー要件を満たすための最小レベルのセキュリティ要件
• 手順・ステップ・リターン
  • 特定のタスクを実行するための詳細な手順
  • 手順とは、保護タスクの実行に必要な特定の手順をプロジェクトで説明したものです。

コンテンツ重視の戦略の種類

• 組織戦略
• 機能戦略
• 特定のシステムポリシー

調達セキュリティポリシーと慣行/サプライチェーン

• サプライチェーンのリスクとセキュリティ管理
• ハードウェア、ソフトウェア、サービスの調達
  • セキュリティベースラインを開発し、調達した製品およびサービスの最小セキュリティ要件を明確にする サプライヤー担当者向けのセキュリティトレーニングを実施する サプライヤーのセキュリティ管理戦略を策定し、共通のセキュリティ管理方法を定義する サプライヤーネットワークのセキュリティリスク監査に対する OEM メーカー、ディストリビューター、インテグレーターの管理を強化する
• 最小セキュリティ要件とサービス レベル要件
  • SLA を通じてサービス レベル要件と最小セキュリティ要件を定義する
• 第三者監査 SOC レポート (シラバスの第 6 知識領域)
  • SOC が登場する以前、多くの組織リーダーは、アウトソーシング活動の承認を得るために、SAS70 レポートの監査基準に関する声明 (SAS) 監査基準を使用していましたが、SAS 70 では、システムの可用性やセキュリティよりも財務報告内容管理 (ICOFR) に焦点を当てていました。
    • 監査基準 (SAS) 70 に関する声明 ほとんどの組織は、アウトソーシングされたサービス分野を使用して SAS70 レポートを要求していますが、財務上の観点からのみ、多くのユーザーはセキュリティ、可用性、そしてプライバシーに重点を置き始めています。
  • SOC1
    • この報告書では、サービスプロバイダーが自社のシステムを説明し、財務報告に対する内部統制に関連する統制目標と統制を定義することが求められています。
    • SOC1 レポートは通常、ユーザーの ICOFR レポートに関連しないサービスや制御はカバーしません。
    • SOC1 レポートは、2011 年以来、多くのサービス プロバイダーによって中核的な金融処理サービスに使用されています。
  • SOC2/SOC3レポート
    • 設計と運用の有効性を含むレポート
    • 原則とガイドラインでは、セキュリティ、可用性、機密性、処理の完全性、プライバシーを具体的に定義しています。
    • 財務報告に関する内部統制 (ICOFR) を提供します。
    • サービスプロバイダーとそのユーザーのニーズに基づいて、モジュール式のアプローチを採用して、1 つ以上の原則をカバーする SOC2/SOC3 レポートを容易にすることができます。
    • IT サービス プロバイダーがユーザーの金融システムに影響を与えていない場合、または間接的に影響を与えている場合は、SOC2 レポートを使用します。
    • SOC3 レポートは通常、詳細な制御やテスト結果を公開せずに、幅広いユーザーに保証レベルを知らせるために使用されます。
  • タイプ1とタイプ2

脅威モデリング

• ステップ
  • 脅威を特定する
    • ストライドモデル
  • 潜在的な攻撃を特定する
  • 簡易分析の実行
  • 優先ライセンスと取り消し

4. 情報セキュリティの組織体制

上級管理者（CEO、CFO、COO）

• 意思決定層または上級管理者が情報セキュリティに対して全責任を負い、情報セキュリティの最終責任者となります。
• • 責任: 1. 情報セキュリティ活動の方向性を導く情報セキュリティの目標とガイドラインを明確にする 2. 情報セキュリティ活動のためのリソースを提供する 3. 主要な問題について意思決定を行う 4. さまざまな部門とリンクの間の関係を調整し、整理する 5. 最終責任者人

最高情報責任者 (CIO)

• 会社の日常的な技術業務を監督し、責任を負います

情報システムセキュリティスペシャリスト（CSO）

• 1. 情報セキュリティ責任者または CSO は、上級管理者 (通常は CIO) によって、セキュリティの実装と維持の責任を負います。 2. 組織のセキュリティ ポリシー、標準、ガイドライン、および手順を設計、実装、管理、およびレビューします。 3. さまざまな調整を行います。組織内のユニット セキュリティとのすべてのやり取り
• CSO の責任 1. 情報セキュリティ活動の予算編成 2. ポリシー、手順、ベースライン、標準、およびガイドラインの開発 3. セキュリティ意識向上プログラムの開発 4. セキュリティ インシデント対応の評価 5. セキュリティ コンプライアンス プログラムの開発 6. セキュリティ コンプライアンス プログラムの開発管理会議 7. セキュリティ測定メカニズムの確立 8. 内部および外部監査の支援

安全委員会

• 1. メンバーの構成: 上級経営陣の代表者、IT マネージャー、事業部門および機能部門の責任者、情報セキュリティ責任者など。 2. セキュリティ関連の事項、ポリシー、基準、およびガイドラインを決定し、承認する。

セキュリティ管理者

• 1. セキュリティ規制およびポリシーの導入、監視、施行の責任を負う 2. 各部門は、部門のセキュリティ管理業務の実施に責任を負う独自のセキュリティ管理者を設置することができる 3. セキュリティ委員会/情報セキュリティ責任者に報告する

情報システム監査人

• 1. 安全目標管理に対する独立した保証を提供する 2. システムが安全要件を満たしているかどうか、および安全制御が有効であるかどうかを判断するためにシステムをチェックする

安全プログラムチーム

3種類のプラン

• 戦略計画 - 比較的安定した約 5 年間の長期計画で、組織の目標と使命を定義します。
• 戦術計画 - 1 年などの中期計画、雇用計画、予算計画など、戦略計画に記載された目標を達成するためのタスクと進捗状況の詳細な説明。
• 運用計画 - トレーニング計画、システム導入計画など、毎月または四半期ごとに頻繁に更新される短期の非常に詳細な計画。

5. 人員の安全

入場セキュリティ管理

• 身元調査 - リスクを軽減し、採用コストを削減し、離職率を削減します
• スキル評価
• 組織の情報セキュリティ、機密保持、違反に対する法的責任に対する機密保持契約または DNA クリアの従業員の責任。試用期間中の従業員、情報処理プロセスを使用する第三者ユーザー、従業員の契約期間の変更および退職に適用されます。

作業上の安全管理

• 職務の分離 - 目的: 詐欺や取引の可能性が低くなります。一般的なパターン: 知識の分離、二重管理 小規模な組織の場合、厳密な職務の分離は困難であり、監視や監査などの代償措置を採用できる
• 最小権限 - 責任を割り当てるために必要な最小限の権限
• ジョブローテーション - 個人が過度にコントロールしすぎないように、個人が長期間固定されたポジションに就くことを許可しないでください。クロストレーニングと不正行為の検出に役立つ人員のバックアップを設定します (クロストレーニングは、ジョブローテーションの代替としてよく使用されます)。
• 強制的な休暇 - 機密性の高い部門の担当者に休暇の取得を強制することで、不正行為、データの改ざん、リソースの乱用などを効果的に検出できます。

出口安全管理

• 元スタッフのアクセスを直ちに削除する
• 識別可能なアイテムのリサイクル
• 退職者は私物の片付けに同行する必要がある

ベンダー、コンサルタント、請負業者の管理

• オンサイトでは作業していませんが、管理者権限はあります
  • 1. 第三者の組織および個人と機密保持契約を締結します。 2. 第三者のすべての業務行動を監視します。 3. アクセスする際には、第三者の担当者の身元が確認されていることを確認してください。
• 現場で作業し、管理者権限を持っている
  • 1. 上記（1-3）の措置をもとに、職員の経歴調査を強化する。 2. 第三者職員が現場を離れる場合は、関連する権限を撤回する必要がある。
• 第三者との契約条件に機密保持要件および関連するビジネス条件を追加する

必要な安全（意識、訓練、教育）

• 1. 従業員は組織の情報資産の保護を意識する必要がある; 2. オペレーターは職務を安全に実行するためのスキルの訓練を受けなければならない; 3. セキュリティ担当者は、必要なセキュリティ管理を実装および維持するための教育を受けるべきである

6. リスク管理

目的

• リスクを特定して評価し、許容可能なレベルまで低減し、このレベルを維持するための適切なメカニズムを導入するプロセス
• コストと利益のバランス ROI ROI = (制御導入後の利益 + データ損失の回復による利益) / 制御コスト

リスク管理関連要素

• 資産
  • 組織にとって価値のある情報資産の資産評価: 実際のコストと非金銭の観点から資産に割り当てられた金銭的価値を示します。
• 脅かす
  • 資産または組織に損害を与える可能性のあるセキュリティインシデントの潜在的な原因
• 脆弱性
  • 脆弱性または弱点、つまり、脅威によって悪用される可能性があり、一度悪用されると資産に損害を与える可能性がある資産または資産グループの弱点です。
• 危険
  • 特定の脅威が資産の弱点を悪用して、資産または資産グループに損害を与える可能性
• 可能性
  • 脅威の頻度の定性的説明
• 影響/結果
  • 事故によって引き起こされた組織への直接的または間接的な損害または傷害
• セキュリティ対策
  • 制御または対策、つまり、脅威を防止し、脆弱性を軽減し、予期せぬイベントの影響を制限することによってリスクを軽減するためのメカニズム、方法、および措置
• 残留リスク
  • セキュリティ対策を講じた後に残るリスク

リスクアセスメント

• コンセプト
  • 情報資産とその価値、脅威、弱点、および 3 つのアクションの組み合わせによってもたらされるリスクの規模またはレベルの評価
• 目標
• リスク評価方法
  • AS/NZS4360
    • リスク管理に対してより広範なアプローチを採用します (NZS は、特にセキュリティ用途ではなく、企業の財務、資本、従業員の安全、ビジネス上の意思決定のリスクに適用されます)
  • NIST SP800-30 および SP800-66
    • 定性的RA法
    • 1. システム分類; 2. 弱点の特定; 3. 脅威の特定; 4. 対策の特定; 5. 可能性の評価; 6. 影響の評価; 7. リスクの評価; 8. 新しい対策の推奨事項; 9. 文書レポート
  • オクターブ
    • 情報資産リスクに基づく自律的な情報セキュリティリスク評価仕様。資産主導型を重視し、3 つのステージと 8 つのプロセスで構成されます。
  • 学習塾
    • 基本プロセス: 資産の特定と評価、脅威と脆弱性の評価、対策の選択と推奨
  • STA
    • システムが直面する可能性のあるすべての脅威のツリーを作成します。ブランチは、ネットワークの脅威、物理的な脅威、コンポーネントの障害などのカテゴリを表すことができます。RA を実行するときは、未使用のブランチを切断する必要があります
  • FEMA
    • ハードウェア分析から。各コンポーネントまたはモジュールの潜在的な障害を調査し、障害の影響を調査します。
• 定量分析
  • 定義: リスクおよび潜在的な損失のレベルを構成する各要素に数値または金額を割り当てること。
  • 基本概念: エクスポージャーファクターEF、単一損失期待SLE、年間発生率ARO、年間損失期待ALE
  • 定量分析プロセス
    • 資産を特定し、資産に値を割り当てる
    • 脅威と弱点を評価し、特定の資産に対する特定の脅威の影響、つまり EF (0% ～ 100%) を評価します。
    • 特定の脅威、つまり ARO の発生数 (頻度) をカウントします。
    • 資産の SLE を計算します。 SLE (単一損失期待値) = AV 資産価値 × EF (エクスポージャー ファクター) 略: SLE = AV * EF
    • 資産の ALE を計算します。 ALE (年間損失期待) = SLE (単一損失期待) x 年間発生率 (ARO) 略: ALE=SLE ARO または ALE=AV EF*ARO
  • セーフガードの費用/便益の計算 = セーフガード前の ALE - セーフガード後の ALE - セーフガードの年間コスト ACS = 企業にとってのセーフガードの実際の価値 短い：（ALE1 - ALE2） - ACS
• 定性分析
  • 定義: 現在最も広く使用されている、主観性の強いモデル。リスク管理要素の規模やレベルを「高、中、低」などの定性的に格付けするには、アナリストの経験と直観、または業界の慣行と標準に頼る必要があることがよくあります。
  • 定性分析手法
    • コンセンサス/デルファイアプローチ
    • チェックリスト
    • アンケート
    • 人事面接
• 定性分析手法と定量分析手法の比較
  • 定性的な方法と結果は比較的主観的です
  • 定性的手法では費用対効果分析の金銭的価値を確立できない
  • 定量的手法は計算量が多く、実装が困難です

リスク評価・分析プロセス

• 1. 情報資産の特定
  • 1. 各資産の所有者、管理者、ユーザーを特定する 2. 資産リストを作成し、ビジネスプロセスに従って情報資産を特定する 3. 物理的資産、論理的資産、無形資産
• 2. 情報資産の評価
  • 1. 評価要素の検討 2. 重要度（影響または結果）に応じて資産を分類し、機密性、完全性、および有用性の損傷によって引き起こされる可能性のある結果を考慮する 3. 無形資産の評価方法
• 3. 脅威の特定と評価
  • 1. 資産は複数の脅威に直面する可能性があり、また、脅威は複数の資産に影響を与える可能性があります 2. 脅威の原因を特定します: 人間の脅威、システムの脅威、環境の脅威、自然の脅威 3. 脅威の可能性を評価する際には、脅威の原因を考慮する必要があります動機と能力の要素
• 4. 弱点を特定して評価する
  • 1. 資産ごとに悪用される可能性のある弱点を見つける 技術的弱点、オペレーティングシステムの弱点、管理の弱点 2. 弱点の特定方法 監査レポート、イベントレポート、セキュリティ検査レポート、システムテストおよび評価レポート 専門組織が公開する脆弱性情報自動化された脆弱性スキャナ侵入テスト
• 5. 資産、脅威、弱点
• 6. リスク評価
  • 主要指標 1. リスクの影響 2. リスクの確率
• 7. 既存の管理措置の検討
  • 関連性と実装方法の 3 つのカテゴリ 1. 管理: 2. 運用: 3. 技術
  • 機能の観点から言えば、制御手段の種類は次のとおりです。 1. 抑止 2. 予防 3. 発見 4. 是正 5. 回復 6. 補償
• 8. リスク管理戦略
  • リスク処理戦略を確認します。 1. リスクを軽減する 2. リスクを回避する 3. リスクを移転する 4. リスクを受け入れる
  • リスク管理手段の選択 対策 1. コスト/便益分析: 基本原則: セキュリティ対策を導入するコストは、保護される資産の価値を超えてはなりません。対策コスト: 購入コスト、追加の人的資源と物的リソース、トレーニングコスト、メンテナンスコストなど。ビジネス効率への影響。防除価値 = 防除実施前の ALE - 年間防除コスト - 防除実施後の ALE 2. 制約: 時間的制約、技術的制約、環境的制約/法的制約、社会的制約 3. 保護措置の基本的な機能と有効性
• 9. 残留リスクの評価
  • 安全管理導入後の残留または残留リスク 残留リスク Rr = 元のリスク R0 - 管理有効性 R 残留リスク <= 許容リスク Rt

7. 法令の遵守と職業倫理

コンピューター犯罪関連

• コンピューター幇助犯罪
  • コンピュータは犯罪に必須の要素ではありませんが、犯罪を支援するツールとして使用されています。
• コンピュータを狙った犯罪
  • コンピュータ、ネットワーク、およびこれらのシステムに保存されている情報に対する犯罪
• コンピューター関連の犯罪
  • コンピュータは必ずしも攻撃者または被害者であるわけではなく、攻撃が発生したときにたまたま攻撃に関与しているだけです。
• 犯罪の「理由」を理解するには、多くの場合、MOM を理解する必要があります。
  • 手段の方法
  • 機会
    • B. 機会
  • モチベーション

法律の分類

• 刑法
• 市民法
• 行政法

コンピュータ犯罪の特徴

• 専門的な技術を必要とする証拠の捜査や収集が難しく、証拠が隠滅されやすいため、他の証拠に比べて裁判所に認められにくい
• 関連する法律が不完全であり、技術の発展や進歩に法律が追いついていないため、犯罪者を法的に処罰することが困難である
• 地域を超えた特性
• 統計的には、内部関係者は犯罪を犯す可能性が高い
• 被害者は、組織の通常の運営が影響を受け、組織に対するユーザーの信頼が損なわれることを恐れて、報告しないことがあります。

知的財産

• 営業秘密
  • 1. 知名度は低いが、企業が適切なリソースと努力を払って開発したものである 2. 漏洩や不正使用を防ぐために企業から適切な保護を受けている 3. 企業との競争力または市場性が重要である
  • 例：積式、プログラムソースコード、暗号化アルゴリズム
• 著者名・著作権
  • 1. ほとんどの作品の公開、複製、展示、変更の権利は法的に保護されています。 2. 作品の創造性は保護されませんが、創造性の表現は保護されます。
  • 例: プログラム コード、ソース コード、実行可能ファイル、さらにはユーザー インターフェイス、文学、絵画、歌のメロディー
• 商標
  • 1. 企業のイメージを表す言葉、名前、記号、形、音、色を保護します 2. 商標は通常、商標登録機関に登録されます 3. 商標は、企業が企業の活動の過程で確立した品質と評判の標識です市場運営
• 特許
  • 1. 特許登録者または企業の特許所有権が法的に認められ、他者または企業による無断使用が禁止されます。 2. 特許は 20 年間有効です。
  • 例: 薬の処方、暗号化アルゴリズムなど。

ソフトウェアの著作権侵害

• 1. フリー ソフトウェア 2. シェアウェア 3. 商用ソフトウェア 4. アカデミック ソフトウェア
• 国際著作権侵害対策組織: Software Protection Association SPA、Anti-Software Theft Alliance 関連法: Array Millennium Copyright Act DMCA

法令

GDPRに焦点を当てる

• 1. サーベンス・オクスリー法、SOX 2、医療保険の利便性と責任に関する法律、HIPPA 3、連邦プライバシー法 4、バーゼル II 5、決済カード業界のデータ セキュリティ基準 PCL DSS 6、連邦情報セキュリティ法 7、経済スパイ法 8、 EU 一般データ保護規則 GDPR
• GDPR 一般データ保護規則
  • 個人データ
    • 特定された、または特定可能な自然人 (「データ主体」) に関連するあらゆるデータ
  • 特別なカテゴリの個人データ (機密データ)
  • 個人データの処理原則
    • 合法、公正、透明
      • 個人データは、データ主体が関与する合法的、公正かつ透明な方法で処理される必要があります。​
    • データを最小限に抑える
      • 管理者および処理者が収集する個人データの範囲は、目的の達成に必要な範囲に限定され、個人データの処理活動は目的の達成に必要な最小限のレベルが確保される必要があります。
        • 集めすぎない
    • 目的の制限
      • 管理者および処理者は、明確かつ明確かつ合法的な目的で個人データを収集する必要があり、個人データの処理は、収集時に明示された目的を超えてはなりません。
        • 二次利用はできません
    • 正確さ
    • ストレージ制限
    • 誠実さと機密保持
  • データ主体
    • 識別可能な自然人; 直接または間接的に識別できる自然人
    • データ主体の権利
      • 利用可能
      • 反対できる
      • 取り消し可能な
      • 制限可能
      • 修正できます
      • ポータブル
      • 消去可能（忘れられる力）
  • データコントローラー
    • 個人データを処理する目的と手段の決定
  • データプロセッサ
    • データ管理者の要件に従ってデータを処理する
  • 匿名化
    • 仮名化
      • データの仮名化とは、追加情報を使用せずに個人データを特定のデータ主体に帰属させることができないような方法で個人データを処理することです。このプロセスは（対応するキーがある限り）元に戻すことができ、依然として個人データとみなされます。
    • ハッシュ、暗号化
  • 匿名化
    • データを個人に関連付けることはできなくなります
    • 匿名化されたデータは個人データではなくなります
  • 個人データ侵害の通知
    • 規制当局への通知は「72時間以内」
      • 自然人の権利と自由に対するリスクがある場合は監督当局に通知する
      • 自然人の権利と自由に対する高いリスクがある場合には、データ主体にも通知する必要があります。
  • プライバシー・バイ・デザイン (PbD)
    • 「プライバシー・バイ・デザインは、規制の枠組みを遵守することによってプライバシーの将来を保証することはできないという点を提起しています。むしろ、プライバシーの保証は理想的には組織のデフォルトの運用モードになる必要があります。」
      • 1. 事後対応ではなく事前対応、是正ではなく予防を行う
        1. デフォルトとしてのプライバシー
        1. 設計によって埋め込まれたプライバシー
        1. フル機能 - ゼロサムではなくプラスサム
        1. エンドツーエンドのセキュリティ - 完全なライフサイクル保護
        1. 可視性と透明性 — 常にオープンな状態を保つ
        1. ユーザーのプライバシーを尊重 - ユーザー中心
  • 国境を越えたデータフロー (概要の新しい知識ポイント)
    • 十分に認知されている国
    • BCR（境界協力ルール）
      • グループ会社内での国境を越えたデータ転送
    • 欧州連合と米国間のデータ転送
      • セーフハーバー協定（2015年に破棄）
      • プライバシー シールド契約 (2020 年に廃止)

プライバシーの扱い

• 目標: 1. 国民の個人識別情報 (PII) の保護に積極的に努めます。 2. 政府および企業のニーズとセキュリティ上の懸念とのバランスを積極的に模索し、PII の収集と使用を検討します。
• 個人を特定できる情報
  • ID番号、IPアドレス、ナンバープレート番号、運転免許証番号、顔、指紋または筆跡、クレジットカード番号、デジタルID、生年月日、出生地、遺伝情報など。
• 個人情報の利用原則
  • 個人データ管理者の義務 1. 個人データの収集には、データ主体の同意と目的の通知が必要です 2. 目的に関連するデータのみを収集し、目的に必要な期間内でのみ使用および保管します。 3. データ収集の方法とデータの目的 法律に従います。 4. 個人情報の悪意による侵害を防止し、データの完全性と機密性を確保し、アクセスを防ぐために古いデータを消去するための合理的な措置、技術的、管理および運用上の措置を講じます。関連する仕事に何の役にも立たない人々による
  • 収集された情報を確認し、誤った情報を修正する個人データ主体の義務

ISC2 倫理規定 (配布資料 P71)

コンピュータ倫理学会（配布資料 P72）

インターネットアーキテクチャ委員会（配布資料 P73）

8. BCP&DRP要件

災害

• 災害の定義
  • 突然、不幸で予期せぬ出来事が発生し、多額の損失が発生した場合。
• 組織的な災害
  • 組織にとって、重要なビジネス機能が一定期間不能になる事態はすべて災害とみなされます。
  • 災害の特徴: 1. 計画外のサービス中断 2. 長期にわたるサービス中断 3. 通常の問題管理手順では中断を解決できない 4. 中断により多大な損失が発生する
  • 停止イベントが大惨事とみなされるかどうかは、次の要素によって決まります。 1. 停止によって影響を受けるビジネス機能の重要度 2. 停止の長さ

災害復旧計画 (DRP)

• 災害復旧計画の主な目的: 1. 災害が発生した場合、災害とその壊滅的な結果に適切に対処し、IT 情報技術レベルにさらに注意を払う
• 2. 災害復旧計画の実行は、すべてが非常事態にあり、全員が重要なシステムの復旧に忙しいときに行われます 2

事業継続計画 BCP

• 事業継続計画の主な目的: 1. 情報システムの可用性に焦点を当てる 2. BCP は、元の施設の修理中に主要なシステムを他の安全な環境に移行するなど、問題に対処するためのより広範なアプローチを採用します。適切な人材が適切なポジションに就き、通常の状態に戻るまでビジネスを継続します。
• BCP 基準とベストプラクティス
  • 1. 「情報セキュリティ技術情報システム災害復旧仕様書」GB/T20988-2007 2. 「情報技術 IT システム継続性ガイド」NISTSP800-34 3. 英国規格協会 (BIS) の事業継続管理規格 BS 25999 4. 事業継続性の国際規格性管理システムに関する ISO 22301 (BS25999 を置き換える)
  • NIST SP800-34 IT システム継続性ガイドラインのベスト プラクティス
    • 1. 継続計画戦略ステートメントの作成 2. ビジネスへの影響分析 BIA の実行 3. 予防管理の決定 4. 復旧戦略の作成 5. 緊急時対応計画の作成 6. 計画のテスト、トレーニングと訓練の実施 7. 計画の維持
• BCP発動前の準備活動
  • 1. BCP のニーズを決定します。これには、重要なシステムに発生する可能性のある中断を特定するための対象を絞ったリスク分析が含まれます。 2. 関連する法律、規制、業界標準、および組織のビジネスおよび技術計画の要件を理解し、BCP がそれと一致していることを確認します。 3 . BCP プロジェクト リーダーを任命し、ビジネス部門と技術部門の代表を含む BCP チームを設立する 4. プロジェクトの範囲、目的、方法、責任、タスク、進捗状況を明確にするプロジェクト管理計画を作成する 5. 上級リーダーは会議を開催する必要がある正式な取材会議 高レベルのサポートを実証するためのプロジェクトキックオフ会議 6. 意識向上活動により従業員に BCP について教育することができる 内部からのサポートを構築する 7. BCP の成功をサポートするために必要な BCP スキルトレーニングを実施する 7. データを収集し、さまざまな継続計画に役立てるために、組織全体でデータを収集します。
• BCPプロジェクトリーダーの責任
  • 1. 事業継続コーディネーターは、BCP プロジェクトの責任者として、プロジェクトの企画、準備、研修等の業務を全責任を負います 2. 開発予定チームと経営陣との連絡及び連携 4業務中断が組織のビジネスに及ぼす影響を十分に理解している 5. 組織のニーズと運営に精通しており、組織の関連部門のさまざまなニーズのバランスをとる能力がある 6. 上級管理職に比較的容易にアクセスできる 7. 組織の状況を理解している事業の方向性と上級管理職 8. 上級管理職の決定に影響を与える能力
• BCPプロジェクトにおける主な役割
  • 1. ビジネス部門: 組織の主要なビジネス機能を特定し、回復戦略の選択と策定を支援します。 2. IT 部門: 専門的な指導とアドバイスを提供します。 3. 情報セキュリティ部門 4. 法務部門 5. コミュニケーション部門
• ビジネスインパクト分析BIA
  • BIA の概要: 災害時に重大な損失または業務の中断が発生する可能性がある領域を特定し、災害後に組織の在庫管理に使用される重要なシステムと、組織が中断に耐えられる期間を特定します。
  • BIA解析手法
    • 重大度に関する災害または混乱イベントの影響の定性分析
    • 災害や混乱事象の影響を金額で定量的に分析
  • BIAの目的
    • 1. 管理者が潜在的な停止の影響を理解できるように支援します。 2. 主要なビジネス機能とそれをサポートする IT リソースを特定します。 3. 管理者が組織の機能サポートの欠陥を特定できるように支援します。 4. IT リソースの復旧スケジュールを設定します - 停止の影響を分析し、復旧期間を決定します。ビジネス機能ごとに
  • BIA プロセス
    • 1. 情報収集手法を特定する 2. データを収集するためのインタビューを実施する回答者を選択する 3. 会社の主要なビジネス機能とその支援リソースを特定する 4. 最大許容中断時間 (MTD) を決定する 5. 弱点と脅威を特定する 6. リスクを計算する分析 7 、これらの結果を文書化し、BIA を経営陣に報告する
  • BIA アンケートのデザイン
  • BIAの情報分析
  • 許容中断時間MTDを大きくする
    • 中断時間が最大許容中断時間を超えるとビジネスの回復が困難になるため、重要な機能やリソースほど MTD を短くする必要があります。重要: 1 時間以内 緊急: 24 時間 重要: 72 時間 一般: 7 日 非必須: 30 日
    • MTD に従って、重要なビジネス機能とそのサポート リソースの回復の順序を決定します。
• BCP戦略の選択
  • 災害復旧のメトリクスと仕様
    • 作業回復時間 WRT 作業回復時間は比較的固定されています
    • 目標復旧時間 RTO: RTO<MTD は、システムの利用不能が組織に深刻な影響を与えるまでに許容される最大経過時間です。
    • 目標復旧時点 RPO 処理を継続するためにデータを復旧する必要がある時点。これは、許容されるデータ損失の最大量です。
    • RTO+WRT<=MTD