開始フェーズでセキュリティ要件を導入することは、設計やコーディングを行う前にセキュリティ目標と制御を定義し、ビジネスニーズとリスク許容度に合わせることができるため、アプリケーション開発中にセキュリティが確実に統合されるようにするための最善策です。これは、アプリケーションとアプリケーション開発活動のセキュリティを強化する最も効果的な方法である、設計によるセキュリティのアプローチを促進します1。セキュリティ要件を早期に導入することで、セキュリティ専門家と開発者間のコラボレーション、セキュリティアーキテクチャの特定と仕様化、開発ライフサイクル全体にわたるセキュリティ制御の統合とテストも可能になります2。開発プロセス中にグローバルセキュリティ標準を採用することは、セキュリティプラクティスの一貫性と品質を確保するのに役立ちますが、アプリケーション開発中にセキュリティが統合されることを必ずしも保証するものではありません。プログラマに安全な開発プラクティスに関するトレーニングを提供することは、開発者の意識とスキルを高めるのに役立ちますが、アプリケーション開発中にセキュリティが統合されることを保証するものではありません。受け入れテスト中にアプリケーションセキュリティテストを実行することは、展開前にアプリケーションのセキュリティを検証するのに役立ちますが、アプリケーション開発中にセキュリティが統合されることを保証するものではありません。また、開発プロセスの早い段階で予防または軽減できたはずのセキュリティ上の問題を特定して修正するには手遅れとなるでしょう。参考文献 = 1: アプリケーションセキュリティプログラムの5つの主要コンポーネント - ISACA1; 2: CISMドメイン - 情報セキュリティプログラム開発 | Infosec2

新たなサイバーセキュリティ規制が導入された場合、情報セキュリティマネージャーはまず、企業法務顧問に相談し、規制の範囲、適用範囲、および組織への影響を理解する必要があります。法務顧問は、コンプライアンス義務と期限、および不遵守の場合の潜在的な罰則や制裁についても助言できます。この情報に基づいて、情報セキュリティマネージャーはギャップ分析を実施し、現在のコンプライアンス状況を評価し、改善が必要な領域を特定できます。その後、情報セキュリティポリシーを更新して、新たな規制要件を反映させることができます。参考文献：https://www.isaca.org/credentialing/cism https://www.wiley.com/en-us
/CISM認定情報セキュリティマネージャー学習ガイド-p-9781119801948

説明
セキュリティ対策において、人材は最も脆弱な部分であり、意識向上によってこのリスクを軽減できます。セキュリティ意識向上と研修プログラムを通じて、従業員一人ひとりに様々なセキュリティポリシーやその他のセキュリティ関連事項について情報を提供し、理解を深めてもらうことで、各従業員のコンプライアンスを確保できます。法律や規制もまた、人的リスクの軽減を目的としています。事業部門へのセキュリティ戦略の周知は、運営委員会会議やその他のフォーラムを通じて行うのが最適です。