説明
セキュリティ強化とは、システムやソフトウェアにセキュリティ構成設定を適用して、攻撃対象領域を縮小し、脅威に対する耐性を向上させるプロセスです1。セキュリティ強化設定は、さまざまなソフトウェアアプリケーション、オペレーティングシステム、ネットワークデバイスに推奨されるセキュリティ構成を提供するCISベンチマーク2などの業界標準とベストプラクティスに基づいています。しかし、セキュリティ強化設定は、組織のビジネス要件や目標と必ずしも互換性があるとは限らず、システムやソフトウェアの機能、パフォーマンス、ユーザビリティに悪影響を与える可能性があります3。そのため、セキュリティ強化設定を適用する前に、情報セキュリティ管理者はリスク評価を実施して、設定の潜在的な利点と欠点を評価し、設定に関連するリスクを特定して優先順位付けする必要があります。リスク評価とは、組織が直面するリスクを特定、分析、評価し、適切なリスク対応を決定する体系的なプロセスです。リスク評価は、情報セキュリティ管理者が組織のセキュリティとビジネスニーズのバランスを取り、関連する利害関係者にリスクレベルと影響を伝えるのに役立ちます。セキュリティ強化設定の縮小、リスクのビジネス管理への通知、セキュリティ例外の文書化など、他のアクションを実行する前に、まずリスク評価を実施する必要があります。これは、情報に基づいた合理的な意思決定を行うために必要な情報と根拠を提供するためです。参考文献 = 1: CIS 強化ガイドラインの基本 | RSI Security 2: CIS ベースライン強化およびセキュリティ構成ガイド | CalCom 3: CISM レビュー マニュアル第 15 版、121 ページ : CISM レビュー マニュアル第 15 版、122 ページ :
CISMレビューマニュアル第15版、145ページ：CISMレビューマニュアル第15版、146ページ：CISMレビューマニュアル第15版、147ページ

SIEM（セキュリティ情報およびイベント管理）システムの有効性は、アラートしきい値の適切な設定に大きく依存します。アラートしきい値の設定ミスは、重大なインシデントの検出漏れ（偽陰性）や、誤検知の過剰な発生につながり、真の脅威を特定することを困難にします。CISMレビューマニュアル第16版、ドメイン4：情報セキュリティインシデント管理によると、SIEMなどの監視ツールの設定と調整は、インシデントをタイムリーかつ正確に検出するために不可欠です。
参照：ISACA CISMレビューマニュアル、第16版、304～305ページ、「セキュリティイベント管理ツールとテクニック」。

セクション：インシデント管理と対応

セクション：情報セキュリティガバナンス
Explanation:
BIAは、リスクの現状を判断するプロセスの一部として含まれており、影響に対する許容可能な対応レベルと現在の対応レベルを判断するのに役立ち、ギャップ分析につながります。
適切な予算編成は結果として得られるかもしれないが、分析を行う理由ではない。分析を行うことで規制要件を満たすことはできるかもしれないが、法案の成立が分析を行う理由ではない。事業への影響を分析することはプロセスの一部であるが、同時に、ニーズや許容できる影響、あるいは対応策も決定する必要がある。