セクション: 情報セキュリティ プログラム管理

説明/参照:
Explanation:
意識向上トレーニングでは、共連れ行為が試みられた場合、権限のある従業員が異議を申し立てる可能性が高くなります。他の選択肢は物理的な制御ですが、それ自体では共連れ防止には効果がありません。

リスクオーナーとは、リスクが効果的に管理されることを保証する責任を負う個人または団体です。リスク所有者の主な責任の 1 つは、リスクの軽減または管理に役立つ制御を実装することです。リスク評価、組織のリスク選好度の決定、および管理の有効性の監視はすべてリスク管理の重要な側面ですが、リスクを管理するために必要な措置を講じるのはリスク所有者の責任です。

セキュリティ インシデントの明確な定義を確立する主な利点は、効果的なエスカレーションと対応手順の開発に役立つことです。セキュリティ インシデントとは、組織の情報やシステムの通常の運用、セキュリティ、またはプライバシーを混乱させたり、脅かしたりする出来事または試みです1。セキュリティ インシデントを明確に定義すると、次のことが役立ちます。
* 正常なイベントと異常なイベント、およびセキュリティ関連イベントとセキュリティ関連でないイベントを区別する
* インシデントの重大度と影響、および適切な対応レベルを決定する
* インシデントの検出、報告、分析、封じ込め、根絶、回復、およびインシデント後の活動に対する役割と責任を割り当てます。
* インシデントを上級当局または外部関係者にエスカレーションするための基準としきい値を確立する
* インシデントの通知と調整のための通信チャネルとプロトコルを定義する
* インシデント対応のプロセスと手順を正式な計画に文書化する NIST によると、セキュリティ インシデントの明確な定義は、効果的なインシデント対応能力の重要な要素の 1 つです2。他のオプションは、セキュリティ インシデントの明確な定義を確立することの主な利点ではありません。インシデント対応プロセスを関係者に伝えることは重要ですが、それはセキュリティ インシデントを定義する主な目的ではありません。インシデント対応チームに適切な人員配置とトレーニングを行うことは不可欠ですが、それはセキュリティ インシデントの定義以外の要因によって決まります。机上テストをより効果的にすることは結果として考えられますが、セキュリティ インシデントを定義することによる直接的な利点ではありません。参考資料: 2: NIST SP 800-61 Rev. 2 コンピュータ セキュリティ インシデント処理ガイド 1: NIST 用語集 - セキュリティ インシデント : セキュリティ インシデントとは何ですか? - TechTarget : 10 種類のセキュリティ インシデントとその対処方法 - TechTarget : 45 CFR § 164.304 - 定義 - 電子連邦規則集

説明
サードパーティ開発者に委託されたミッションクリティカルなビジネス アプリケーションにバックドアが存在するかどうかをテストする最良の方法は、アプリケーション全体でセキュリティ コード レビューを実行することです。バックドアとは、ソフトウェア アプリケーション内の隠された、または文書化されていない機能であり、アプリケーションやアプリケーションが実行されるシステムへの不正またはリモートからのアクセス、制御、操作を可能にします。バックドアは、開発者によって意図的または非意図的に導入されるか、攻撃者によって悪意を持って挿入される可能性があり、組織とそのデータに重大なセキュリティ リスクや脅威をもたらす可能性があります。セキュリティ コード レビューは、ソフトウェア アプリケーションのソース コードを調査および分析して、アプリケーションまたはシステムの機能、パフォーマンス、または整合性を損なう可能性のあるセキュリティの脆弱性、欠陥、またはバックドアなどの弱点を特定して排除するプロセスです。 。セキュリティ コード レビューは、セキュリティ専門家によって手動で実行することも、セキュリティ ツールによって自動的に実行することも、その両方で実行することもできます。また、設計、コーディング、テスト、展開など、ソフトウェア開発ライフ サイクルのさまざまな段階で実行できます。セキュリティ コード レビューは、アプリケーション内のバックドアが攻撃者に悪用される前に検出して削除するのに役立ち、またアプリケーションの品質、信頼性、セキュリティの向上にも役立ちます。
参考文献 = CISM レビュー マニュアル、第 16 版、第 3 章: 情報セキュリティ プログラムの開発と管理、セクション: 情報セキュリティ プログラムの開発、1581 ページ。CISM レビューの質問、回答および説明マニュアル、第 10 版、質問 87、812 ページ。CISM アイテム開発ガイド、63 ページ。