説明
ISO/IEC 27001:2022 によれば、情報セキュリティ管理は、情報資産の機密性、完全性、および可用性を保護するために実装される対策です1。コントロールは、その目的と性質に応じて、予防的、発見的、または是正的なものになります2。予防管理は、セキュリティ インシデントの発生を防止または阻止するか、その可能性を軽減することを目的としています。検出制御は、セキュリティ インシデントの発生またはその症状を検出または発見することを目的としています。是正管理は、セキュリティ インシデント発生後に資産またはプロセスの通常の状態を修正または復元するか、その影響を軽減することを目的としています2。
このシナリオでは、Socket Inc. は、情報セキュリティ インシデントの再発を防ぐために、次のようないくつかのセキュリティ制御を実装しました。
ネットワークの分離: これは、ルーター、ファイアウォール、VPN などのデバイスを使用してネットワークのさまざまな部分を小さなセグメントに分離し、それらの間のアクセスと通信を制限する予防的かつ技術的な制御です3。これにより、ネットワークのセキュリティとパフォーマンスが強化されるだけでなく、管理の労力とコストも削減されます3。
特権アクセス権: これは、役割と責任に基づいて、情報資産またはシステムにアクセスする正当な必要性を持つ権限のある担当者のみに情報資産またはシステムへのアクセスを許可する予防的および管理的制御です4。これにより、情報資産やシステムの不正アクセス、悪用、変更のリスクを軽減できます4。
暗号化制御: これは、情報資産またはシステムの機密性、完全性、および信頼性を保護するために、情報を読み取り不可能な形式に変換することで情報を保護する科学である暗号化の使用を伴う予防的および技術的な制御です。これにより、情報資産やシステムへの不正アクセス、変更、開示を防ぐことができます。
情報セキュリティの脅威管理: これは、情報資産またはシステムの機密性、完全性、または可用性に悪影響を与える可能性のあるインシデントである情報セキュリティの脅威の特定、分析、および対応を含む予防的および管理的な制御です。
これは、組織が情報セキュリティの脅威の影響を予測、防止、または軽減するのに役立ちます。
プロジェクト管理への情報セキュリティの統合: これは、独自の製品、サービス、または結果を作成するために行われる一時的な取り組みであるプロジェクトの計画、実行、終了に情報セキュリティの要件と管理を組み込む予防的および管理的な管理です。 。これにより、プロジェクトのライフサイクル全体を通じて、情報セキュリティのリスクと機会を確実に特定し、対処できます。
ただし、情報のバックアップは予防管理ではなく、事後管理です。情報バックアップは、データの損失、破損、誤った削除、またはサイバーインシデントが発生した場合に確実に復元できるようにするために、専用のソフトウェアとユーティリティを使用して情報資産またはシステムのコピーを作成および保守する修正的および技術的管理です。これは、組織がセキュリティ インシデント後に情報資産やシステムを通常の状態に復元したり、その影響を軽減したりするのに役立ちます。したがって、情報のバックアップは情報セキュリティ インシデントの再発を防ぐものではなく、むしろ組織が情報セキュリティ インシデントから回復するのに役立ちます。
参考文献:
ISO/IEC 27001:2022 - 情報セキュリティ、サイバーセキュリティ、およびプライバシー保護 - 情報セキュリティ管理システム - 要件 ISO 27001 の主要用語 - PJR ネットワーク セグメンテーション: 概要と仕組み | ISO/IEC 27001:2022 Imperva ISO 27001:2022 付属書 A 8.2 - 特権アクセス権 - ISMS.online
[ISO 27001:2022 付属書 A 8.3 - 暗号化コントロール - ISMS.online]
[ISO 27001:2022 付属書 A 5.30 - 情報セキュリティ脅威管理 - ISMS.online]
[ISO 27001:2022 付属書 A 5.31 - プロジェクト管理への情報セキュリティの統合 - ISMS.online]
[ISO 27001:2022 付属書 A 8.13 - 情報バックアップ - ISMS.online]

ISO/IEC 27001 : 2022 主実施者コースによると、不適合が検出された場合に組織が実行する必要がある ISO/IEC 27001 の手順は次のとおりです1:
* 不適合に反応し、それを管理および修正するための措置を講じ、その結果に対処する
* 不適合が再発したり他の場所で発生したりしないように、不適合の原因を除去するための措置の必要性を評価します。
* 必要なアクションを実行します
* 是正措置の有効性をレビューする
※必要に応じて情報セキュリティマネジメントシステム（ISMS）を変更する したがって、不適合の詳細を組織内の全従業員に伝達し、不適合を引き起こした従業員を停職させることは、ISO/IEC が要求する手順の一部ではありません。
27001. このオプションは不必要であるだけでなく、機密性、完全性、情報の可用性の原則に違反する可能性があるだけでなく、関与する従業員の人権と尊厳にも違反する可能性があるため、潜在的に有害です2。代わりに、組織は不適合を報告、記録、分析するための確立された手順に従い、是正措置が適切、比例的、公平であることを保証する必要があります3。
参考資料: 1: PECB、ISO/IEC 27001 主実施者コース、モジュール 10: 不適合および是正措置、スライド 9 2: PECB、ISO/IEC 27001 主実施者コース、モジュール 10: 不適合および是正措置、スライド 10 3: PECB、 ISO/IEC 27001 主任実施者コース、モジュール 10: 不適合と是正措置、スライド 11