シナリオ 4: TradeB。市場に参入したばかりの商業銀行で、顧客からの預金を受け入れ、基本的な金融サービスと投資用のローンを提供します。TradeB は、ISO/IEC 27001 に基づく情報セキュリティマネジメントシステム (ISMS) の導入を決定しました。 マネジメントの経験はありません。
[^システムの実装において、TradeB の経営陣は 2 人の専門家と契約して、ISMS 導入プロジェクトの指揮と管理を担当しました。
まず、プロジェクト チームは ISO/IEC 27001 Annex A の 93 の管理を分析し、企業に適用できると思われるセキュリティ管理とその目的のみをリストしました。この分析に基づいて、適用性宣言の草案を作成しました。その後、リスク評価を実施し、ハードウェア、ソフトウェア、ネットワークなどの資産と脅威や脆弱性を特定し、潜在的な影響と可能性を評価し、3 つの非数値カテゴリー (低、低、低、低) に基づいてリスクのレベルを決定しました。中、高）。リスク評価基準に基づいてリスクを評価し、高リスクのカテゴリのみを扱うことを決定しました。また、新しいバージョンのアクセス制御ポリシーを確立することで、管理者権限の不正使用と複数のハードウェア障害によるシステムの中断に主に焦点を当てることを決定しました。 、ユーザーアクセスを管理および制御するためのコントロールの実装、および事業継続のためのICTの準備のためのコントロールの実装 最後に、リスク評価レポートの草案を作成し、その中で、これらのセキュリティコントロールの実装後にリスクのレベルが許容レベルを下回っている場合は、と記載しました。シナリオ 4 に基づいて、TradeB が 3 つの非数値カテゴリーに基づいてリスクのレベルを定義したという事実は、次のことを示しています。

組織は、実装した各セキュリティ制御を、その機能を詳細に説明することによって文書化しました。
これは ISO/IEC 27001 に準拠していますか?

どのステートメントがリスク保持の例ですか?

データの機密性や完全性が重要な考慮事項である場合、リムーバブル メディア上のデータを保護するには何を使用する必要がありますか?

シナリオ 1: HealthGenic は、Web ベースの医療ソフトウェアを使用して、乳児期から成人初期までの個人の健康と成長を監視する小児科クリニックです。このソフトウェアは、予約のスケジュール、カスタマイズされた医療レポートの作成、患者のデータと病歴の保存、およびすべての医療機関との通信にも使用されます。
[^両親、他の医師、医療検査スタッフを含む関係者。
先月、HealthGenic はソフトウェアにアクセスするユーザー数の増加により、多数のサービス中断を経験しました。ソフトウェアの使用中に同社が直面したもう 1 つの問題は、訓練を受けていない担当者が使用するのが難しいと感じた複雑なユーザー インターフェイスでした。
HealthGenic の経営陣は直ちにこの問題についてソフトウェアを開発した会社に報告しました。ソフトウェア会社が問題を修正しました。ただし、その過程で、HealthGenic の患者に関連する機密情報を含む一部のファイルが変更されました。加えられた修正により、不完全で不正確な医療報告書が作成され、さらに重要なことに、患者のプライバシーが侵害されました。
上記のシナリオに基づいて、次の質問に答えてください。
情報の機密性が侵害されたことを示すものは次のうちどれですか?