セクション：インシデント管理と対応

標準セキュリティ構成を導入する主な目的は、脆弱性を制御し、構成変更による脅威を軽減することです。標準セキュリティ構成とは、情報システムおよびデバイスの望ましいセキュリティレベルと機能を定義する基本設定とパラメータのことです。標準セキュリティ構成を導入することで、組織は情報システムおよびデバイスが一貫性のある安全な方法で構成されていることを保証し、標準からの逸脱や変更を検出して修正することができます。これにより、構成ミス、不正な変更、悪意のある攻撃によって引き起こされる可能性のあるセキュリティインシデントを防止または軽減することができます。
参考文献: CISM レビュー マニュアル 2023 には、「情報セキュリティ マネージャーは、情報システムのセキュリティ構成が組織のセキュリティ ポリシーと標準に準拠していることを確認する責任がある」こと、および「情報セキュリティ マネージャーは、情報システムとデバイスの標準的なセキュリティ構成を確立および実装し、セキュリティ構成を定期的に監視およびレビューし、逸脱または違反が検出された場合は是正措置を講じる必要がある」と記載されています (p.
138) CISM Review Questions, Answers & Explanations Manual 2023 では、この回答の根拠として次の説明も提供しています。「脆弱性を制御し、変更された構成による脅威を軽減することが正解です。これは、標準セキュリティ構成を実装する主な目的であり、情報システムとデバイスのセキュリティ態勢と機能を維持し、構成ミス、不正な変更、または悪意のある攻撃によって引き起こされる可能性のあるセキュリティインシデントを防止または軽減するのに役立ちます。」(p. 63)。さらに、ISACA Journal 2017 の記事「標準セキュリティ構成」では、「標準セキュリティ構成は、情報システムとデバイスの望ましいセキュリティレベルと機能を定義するベースライン設定とパラメータです」と述べ、「標準セキュリティ構成は、情報システムとデバイスが一貫性のある安全な方法で構成され、標準からの逸脱や変更が検出されて修正されることを保証することで、脆弱性を制御し、変更された構成による脅威を軽減するのに役立ちます」と述べています。(p. 1)