説明
認定情報セキュリティ マネージャー (CISM) 学習ガイドによると、情報セキュリティ マネージャーの主な責任の 1 つは、システムとプロセスへの変更が安全かつ制御された方法で管理されるようにすることです。情報セキュリティ マネージャーにとって最も懸念される変更管理手順は、開発マネージャーが適切な監視や制御なしにプログラムを本番環境に移行する場合です。これにより、システムやデータに許可されていない変更が行われるリスクが高まるだけでなく、システムのセキュリティと可用性に悪影響を与える可能性のある構成エラーやその他の問題が発生するリスクも高まります。これらのリスクを軽減するには、情報セキュリティ マネージャーが開発チームと緊密に連携して、すべての変更が適切に承認、テスト、および制御された方法で実装されるようにする変更管理手順を確立して実施することが重要です。

まず、パッチが本物であることを確認することが重要です。その後、パッチをライトワンス メディアにコピーし、悪意のあるコードがないかチェックするために逆コンパイルするか、隔離されたテスト マシンにロードする必要があります。

説明
最小権限の原則を実装するには、まず職務を特定する必要があります。この原則では、ユーザーには職務を遂行するために必要な最小限のアクセス レベルのみを与えるべきであると規定しています。各ユーザーの具体的な職務を特定することで、組織は必要な最小限のアクセス レベルを決定し、不要なリソースへのアクセスを制限できます。これにより、悪意のあるユーザーや侵害されたユーザーによって引き起こされる可能性のある損害を最小限に抑えることができます。

説明
リスク プロファイルの変更は、組織が直面しているリスクの現在のレベルと性質、および組織目標とパフォーマンスへの影響を反映しているため、情報リスクに関して上級管理職に伝えるのに最も適しています。上級管理職は、情報に基づいた決定を下し、それに応じてリソースを割り当てることができるように、リスク プロファイルの変更を認識する必要があります。リスク プロファイルの変更は、上級管理職がリスク管理プロセスの有効性を監視し、対処する必要があるギャップや弱点を特定するのにも役立ちます。
参考資料 = 情報セキュリティリスクをシンプルかつ効果的に伝える、パート 1、CISM ドメイン 2:
情報リスク管理 (IRM) [2022 年更新]