= 机上演習は、インシデント対応チームにとって、最初の訓練に最適な演習です。これは、インシデント対応計画、手順、役割、および機能を低コスト、低リスク、かつ価値の高い方法でテストおよび評価できるためです。机上演習は、セキュリティインシデントを伴う現実的なシナリオのシミュレーションであり、インシデント対応チームのメンバーとその他の関係者の参加と議論が必要です。机上演習により、インシデント対応チームは、インシデント対応プロセスにおけるギャップ、問題、または課題を特定して対処し、チームメンバーとその他の関係者間のコミュニケーション、調整、およびコラボレーションを向上させることができます。また、机上演習は、インシデント対応チームメンバーの知識、スキル、および自信を高め、より複雑または高度な演習や実際のインシデントに備えるためにも役立ちます。
レッドチーム演習（A）は、倫理的なハッカーまたはセキュリティ専門家のグループが敵対者として行動し、組織のセキュリティ防御、システム、またはプロセスへの侵入を試みる演習の一種です。レッドチーム演習は、組織のセキュリティ体制と回復力をテストおよび評価し、セキュリティ上の弱点や脆弱性を特定して悪用するための、高コスト、高リスク、そして高価値の手法です。ただし、レッドチーム演習は、インシデント対応チームが初めて演習を行うのに最適なタイプの演習ではありません。インシデント対応計画、手順、役割、および能力を既にテストおよび検証している、成熟した経験豊富なチームに適しています。
ブラックボックス・ペネトレーション・テスト（B）は、組織のシステムやプロセスに対する悪意のある攻撃を、事前の知識や情報なしにシミュレートするセキュリティテストの一種です。ブラックボックス・ペネトレーション・テストは、組織のセキュリティ体制と回復力をテスト・評価し、セキュリティ上の弱点や脆弱性を特定して悪用するための、高コスト、高リスク、そして高価値な手法です。しかし、ブラックボックス・ペネトレーション・テストは、インシデント対応チームが初めて実施する演習としては最適なものではありません。インシデント対応計画、手順、役割、能力を既にテスト・検証している、成熟した経験豊富なチームに適しています。
災害復旧演習©は、組織の重要なシステムやプロセスを混乱または破壊する壊滅的な事象をシミュレートする演習の一種であり、災害復旧計画、手順、役割、および能力の発動と実行が求められます。災害復旧演習は、組織の災害復旧体制と回復力をテスト・評価し、復旧に関する問題や課題を特定して対処するための、高コスト、高リスク、そして高価値の手法です。ただし、災害復旧演習は、インシデント対応チームが初めて実施する演習としては最適なものではありません。インシデント対応計画、手順、役割、および能力を既にテスト・検証している、成熟した経験豊富なチームに適しています。
参考資料 = CISMレビューマニュアル、第16版、第4章：情報セキュリティインシデント管理、セクション：インシデント対応計画、サブセクション：テストとメンテナンス、184～1851ページ

説明
境界セキュリティが適切であることを確認するには、侵入テストが最良の方法です。侵入検知システム（IDS）は攻撃の試みを検知することはできますが、境界が保護されているかどうかを確認できません。最低限のセキュリティ基準を設定し、ベンダー推奨の設定を適用することは有益ですが、侵入テストほどのレベルの保証は得られません。

トラフィックの負荷分散を実現するには、それぞれ独立したファイアウォールで保護された2つのエントリポイントを持つことが望ましいです。しかし、どちらもインターネットに接続し、同じ非武装地帯（DMZ）にも接続しているため、テスト環境と本番環境を分離したり、サービス拒否攻撃を防いだりするには、このような配置は現実的ではありません。

情報セキュリティ管理者が組織のIT資産インベントリに記載されていないPC上で不審なアクティビティを確認した後、まず最初に行うべきことは、そのPCがインベントリに記載されていない理由を特定することです。これは、脅威の発生源と範囲、そして組織への潜在的な影響とリスクを特定するのに役立ちます。IT資産インベントリとは、組織が所有、管理、または使用しているすべてのハードウェア、ソフトウェア、データ、その他のリソースのリストです。IT資産に対する説明責任、可視性、そして管理体制を確立し、セキュリティポリシーと手順をサポートするのに役立ちます。
PCがインベントリに含まれていない場合、権限のないユーザーまたは組織によって侵害されたか、適切な許可なく移動または譲渡された可能性があります。また、記録の欠落、重複エントリ、古い情報、不正確な分類など、インベントリ管理プロセスに欠陥やエラーがあることを示している可能性もあります。これらの問題は、情報セキュリティ管理において、例えば以下のような重大な課題を引き起こす可能性があります。
IT環境と資産の可視性の欠如
インシデントの検出と対応の難しさ
データ侵害やサイバー攻撃のリスクの増大
規制要件および基準への非準拠
利害関係者間の信頼と自信の低下
したがって、情報セキュリティ管理者は、PC がインベントリに含まれていない理由を直ちに調査し、状況を改善するための適切な措置を講じる必要があります。
参照 = CISMマニュアル、第6章：インシデント対応計画（IRP）、セクション6.2：インベントリ管理1
1: https://store.isaca.org/s/store#/store/browse/cat/a2D4w00000Ac6NNEAZ/tiles

説明
効果的なリスク意思決定を支援するには、リスク報告手順を整備することが最も重要です。リスク報告手順は、組織内でリスク情報がどのように、いつ、誰に伝達されるかを定義します。リスク報告手順は、リスク情報がタイムリーで、正確で、一貫性があり、意思決定者にとって関連性のあるものであることを保証します。また、リスク報告手順は、リスク管理活動と結果の監視とレビューを促進します。リスク報告手順は、組織がリスク選好度とリスク許容度を事業目標と戦略と整合させることを可能にします。確立されたリスク領域は、効果的なリスク意思決定にとって最も重要な要素ではありません。リスク領域とは、組織の構造、目標、および業務を反映したリスクのカテゴリーまたは領域です。リスク領域はリスク情報を整理し、優先順位を付けるのに役立ちますが、意思決定のためのリスク情報の伝達と分析を必ずしもサポートするものではありません。中間管理職で構成される監査委員会は、効果的なリスク意思決定にとって最も重要な要素ではありません。監査委員会は、組織の内部監査機能と外部監査機能を監督する取締役会の小委員会です。監査委員会は、独立した資格を有する委員で構成されるべきであり、中間管理職ではなく、取締役会または上級管理職が望ましい。監査委員会はリスク管理の有効性について保証と監視を行うが、リスクに関する意思決定を直接支援するものではない。明確に定義され承認された統制は、効果的なリスクに関する意思決定にとって最も重要な要素ではない。統制とは、リスク事象の発生確率または影響を低減するための対策または行動である。明確に定義され承認された統制は、リスク対応の実施とリスクの軽減に不可欠であるが、意思決定のためのリスクの特定、分析、評価を直接支援するものではない。参考文献：CISMレビューマニュアル第15版、207～208ページ。
確立されたリスクドメインは、リスクを分類し、組織への影響を評価するための基盤となるため、効果的なリスク意思決定にとって重要です。リスクドメインは、リスクのオーナーシップを割り当て、リスク管理活動の優先順位付けにも活用されます。確立されたリスクドメインは、リスクが適切に特定され、対処されることを保証し、組織が情報に基づいた効果的なリスク意思決定を行うことを可能にします。リスク報告手順、中間管理職で構成される監査委員会、そして明確に定義され承認された統制は、いずれも効果的なリスク管理プログラムの重要な要素ですが、確立されたリスクドメインは効果的なリスク意思決定にとって最も重要です。