情報セキュリティ戦略を策定する最初のステップは、すべてのデジタル資産、従業員、ベンダーを含む会社の状況について、リスクを意識した包括的な棚卸しを行うことです。次に、脅威環境と、どのタイプの攻撃が会社にとって脅威であるかを知る必要があります1。これは、現在の状態に基づいてギャップ分析を実行するのと似ています3。

説明
組織のニーズは常に優先されるべきです。ベスト プラクティスと地域の規制は重要ですが、組織の全体的なニーズは考慮されていません。

説明
過去のパフォーマンスは将来のパフォーマンスを強力に予測するため、将来の従業員の身元調査が組織内からの攻撃を最も効果的に防止します。静的 IP アドレスでは、内部攻撃を防ぐことはほとんどできません。ルーティング不可能なアドレスを使用した内部アドレス変換は、外部攻撃に対しては役立ちますが、内部攻撃に対しては役に立ちません。セキュリティ ポリシーを読んだことを証明する従業員が望ましいですが、これは従業員が誠実に行動することを保証するものではありません。

説明
ファイアウォールの製造元が脆弱性を修正するパッチや回避策を提供している可能性があるため、最良の情報源はファイアウォールの製造元です。一般に、すべての OS パッチが最新であることを確認することがベスト プラクティスですが、必ずしも報告された脆弱性に対処できるわけではありません。受信トラフィックをブロックすることは、ビジネスの観点からは現実的または効果的ではない可能性があります。侵入テストの実施には時間がかかりすぎ、必ずしも是正措置の解決策が得られるとは限りません。