セクション: インシデント管理と対応

経営幹部に情報セキュリティプログラムの現状を説明する際に最も重要なのは、対象者に適した言葉遣いを用いることです。これは、経営幹部を混乱させたり退屈させたりする可能性のある専門用語、頭字語、詳細な説明を避け、情報セキュリティプログラムのビジネス価値、リスク、そしてメリットに焦点を当てることを意味します。その他の選択肢は、適切な言葉遣いほど重要でも関連性も高くありませんが、説明に含めることは有益です。例えば、状況予測は将来の傾向や課題を示すのに役立つかもしれませんが、現状を明確かつ簡潔に伝えることほど重要ではありません。同様に、指標の傾向グラフやプログラムの有効性を示す評価システムは、説明を補足するのに役立つかもしれませんが、経営幹部が理解し共感できる言葉遣いほど重要ではありません。参考文献：『政府幹部向け情報セキュリティガイド』7ページ：「絶えず変化する情報セキュリティ環境において、従業員に責任を再認識させ、経営陣のセキュリティプログラムへのコミットメントを示すことは、効果的なセキュリティを維持する鍵となります。」政府幹部向け情報セキュリティガイド - NIST、3ページ：「幹部は、対象者にとって意味のある言葉を用いて、組織とその職員に情報セキュリティの重要性を伝える必要があります。」 情報セキュリティ委員会憲章 - SecurityStudio、1ページ：「委員会は、情報セキュリティプログラムの方向性、現状、および監督を調整し、伝達します。」

セキュリティ目標、プロセス、方法、ツール、そして技術の集合がセキュリティ戦略を構成します。ITガバナンスとビジネスガバナンスは密接に関連していますが、ビジネスコントロールはセキュリティ戦略に含まれない場合があります。また、予算は通常、情報セキュリティ戦略に含まれません。さらに、情報セキュリティ戦略が策定・実施されるまでは、具体的なツールは特定できず、具体的なコスト見積りもできません。ファイアウォールのルールセット、ネットワークのデフォルト設定、侵入検知システム（IDS）の設定などは、定期的に変更される技術的な詳細であり、戦略文書には適していません。