説明
個々のビジネス管理者は、資産がビジネスに与える影響について最もよく知っているため、情報資産の価値を判断するのに最適な立場にあります。ビジネスシステム開発者や情報セキュリティ管理者は、ビジネスへの影響についてそれほど知識がありません。同業他社の業界平均は、必ずしも十分な詳細な情報を提供しているわけではなく、ビジネスの独自の側面との関連性もそれほど高くありません。

セクション: 情報セキュリティ プログラムの開発
説明/参照:

説明
ランサムウェアに関連するリスクを軽減するための取り組みの実績を報告する際に上級管理者に提示する最も重要な情報は、コストと関連するリスクの軽減です。これは、ランサムウェアの可能性を軽減するという観点から、技術的および管理的管理の価値と有効性を示すことを意味します。ランサムウェアインシデントとデータ恐喝の影響、およびそれらを実装および維持するために必要な投資とリソースと比較します。コストとそれに伴うリスクの削減は、上級管理者が投資収益率 (ROI) と、ビジネス目標との整合性、および取り組みのリスク選好度を評価するのに役立ちます。
参考文献 = ランサムウェア リスク管理 - NIST、#StopRansomware ガイド | CISA

説明
脆弱性分析の実行は、新しいアプリケーションが情報セキュリティポリシーに準拠していることを確認するための最良のオプションです。これは、アプリケーションを潜在的な脅威や攻撃にさらす可能性のあるセキュリティ上の欠陥や弱点を特定して評価し、推奨事項や解決策を提供するのに役立ちます。それらを軽減するために。実装前にアプリケーションのセキュリティを確認することは、実装または展開後に発生する可能性のあるすべてのセキュリティ問題を検出または防止できるわけではないため、良い選択肢ではありません。開発段階でセキュリティ機能を統合することは、アプリケーションやその環境のセキュリティ要件や課題をすべて考慮していない可能性があるため、良い選択肢ではありません。アプリケーションのセキュリティを定期的に監査することは、監査間または展開後に発生する可能性のあるセキュリティ問題に対処できない可能性があるため、良い選択肢ではありません。参考文献:
https://www.isaca.org/resources/isaca-journal/issues/2017/volume-2/secure-software-development-lifecycle
https://www.isaca.org/resources/isaca-journal/issues/2016/volume-4/integrating-assurance-functions

説明
情報セキュリティ管理者が、組織の製品やサービスを宣伝するために人気のソーシャル ネットワーク プラットフォームを活用する取り組みをサポートするための最善の行動は、ソーシャル ネットワークの使用に関連するセキュリティ リスクを評価することです。セキュリティ リスク評価は、情報資産とシステムの機密性、完全性、可用性に影響を与える可能性のある潜在的な脅威と脆弱性を特定、分析、評価するプロセスです。セキュリティ リスク評価を実施することにより、情報セキュリティ管理者は、ソーシャル ネットワークを使用するメリットとコスト、およびリスクを許容レベルまで低減するための適切なセキュリティ管理と緩和戦略に関する意思決定プロセスに貴重な情報を提供できます。他のオプションは、セキュリティ リスク管理プロセスの一部である可能性がありますが、最善の行動ではありません。ソーシャル ネットワークにコンテンツを公開するプロセスの確立は、セキュリティ リスクを評価し、必要な制御を実装した後に実行する必要がある運用タスクです。ソーシャル ネットワーク プラットフォームでの脆弱性評価の実施は、組織がプラットフォームのインフラストラクチャと構成を制御できないため、実行可能または効果的ではない可能性がある技術的な活動です。
ソーシャル ネットワークの使用に対するセキュリティ管理の開発は、セキュリティ リスク評価の結果に基づき、組織のリスク選好と許容度に合わせた予防策である必要があります。