シナリオ4：StellarTechは、コネクテッドワールドに革新的なソリューションを提供するテクノロジー企業です。同社のポートフォリオには、画期的なモノのインターネット（IoT）デバイス、高性能ソフトウェアアプリケーション、最先端の通信システムなどが含まれています。絶えず進化するサイバーセキュリティ環境とデジタルレジリエンス確保の必要性に対応するため、StellarTechはNIS2指令の要件に基づくサイバーセキュリティプログラムの策定を決定しました。同社は、これらの要件を確実に実装するために、経験豊富な情報セキュリティマネージャーであるNickを任命しました。Nickは、StellarTechの組織構造を徹底的に分析することから実装プロセスを開始しました。Nickは、StellarTechが専門分野や業務機能に基づいて部門を区分し、明確な役割分担と責任分担を可能にする、明確に定義されたモデルを採用していることに着目しました。
NIS 2指令の要件への準拠を確保するため、ニックと彼のチームは資産管理システムを導入し、資産管理ポリシー、目標設定、そしてそれらの目標を達成するためのプロセスを策定しました。資産管理プロセスの一環として、当社はシステムの範囲内にあるすべての資産を特定、記録、維持管理します。
リスクを効果的に管理するため、同社はリスク管理、リスク評価、リスク対応、リスク受容、リスクコミュニケーション、意識向上とコンサルティング、リスク監視およびレビューの各プロセスを規定する範囲とパラメータの定義を含む構造化アプローチを採用しています。このアプローチにより、過去および現在のサイバーセキュリティ活動に基づいたサイバーセキュリティ対策（教訓や予測指標を含む）を適用することが可能になります。ステラテックの全社的なリスク管理プログラムは、財務リスクと同様に扱う上級管理職が監視する目標と整合しています。予算はリスク状況に応じて編成され、各事業部門はシステムレベルのリスクを強く認識しながら経営ビジョンを実行しています。同社はリアルタイムの情報を共有し、より大規模なエコシステムにおける自社の役割を理解し、リスク理解に積極的に貢献しています。進化する脅威へのステラテックの迅速な対応と、プロアクティブなコミュニケーションの重視は、サイバーセキュリティの卓越性とレジリエンスへの同社の献身を示しています。
先月、当社は包括的なリスク評価を実施しました。このプロセスにおいて、IoTデバイスを標的とした高度なサイバー侵入に関連する潜在的な脅威を特定しました。この脅威は理論的には発生する可能性はあるものの、当社の堅牢なセキュリティ対策、過去のインシデント発生のないこと、そして既存の強力なサイバーセキュリティ対策を鑑み、現実化する可能性は極めて低いと判断されました。
上記のシナリオに基づいて、次の質問に答えてください。
StellarTech はどのような組織モデルを採用していますか?

サイバーセキュリティインシデント、脅威、ニアミスに関して、CSIRT または関連当局に自主的に通知を提出する組織のプロセスの主な特徴は何ですか?

サイバーセキュリティポリシーでは、機密情報の取り扱いに関して何を規定する必要がありますか?

シナリオ1:
重大な物的損害または非物的損害につながる可能性のあるインシデントへの対応を迅速に行うために、当社はリスクの特定と軽減に関して標準化された手法を採用しています。あらゆる業務レベルにおいて徹底したリスク特定プロセスを実施し、早期リスク検知のためのメカニズムを導入し、一貫性と効果の高いインシデント対応を確保するための統一されたフレームワークを採用しています。インシデント報告計画に基づき、SecureTechは潜在的なインシデントの初期段階だけでなく、インシデントの軽減または解決に成功した後も報告を行っています。
さらに、SecureTechはサイバーセキュリティの動的な性質を認識し、急速な技術進化を理解しています。絶えず進化する脅威に対応し、事業を保護するため、SecureTechはベストプラクティスを網羅した包括的なガイドラインを導入することで、システム、ネットワーク、データを脅威から効果的に保護するという積極的なアプローチを採用しています。同社は最先端の脅威検出・緩和ツールに多額の投資を行い、これらのツールは新たな脆弱性に対処するために継続的に更新されています。また、潜在的な侵害に対する堅牢性を確保するため、第三者の専門家による定期的なセキュリティ監査と侵入テストを実施しています。さらに、暗号化プロトコルの採用、定期的なセキュリティ評価の実施、そしてプラットフォーム全体にわたる多要素認証の統合により、顧客の機密情報のセキュリティを最優先に考えています。
SecureTechはサイバーセキュリティ戦略の改善に向けて、いくつかのプラクティスを導入しました。これらのプラクティスは、どのような種類のガバナンスの改善に重点を置いているのでしょうか？シナリオ1を参照してください。

シナリオ8：FoodSafe Corporationは、オーストリア・ウィーンに拠点を置く著名な食品製造会社で、風味豊かなスナックから職人技が光るデザートまで、多様な製品の製造を専門としています。同社はNIS2指令の対象となる規制環境で事業を展開しているため、食品製造プロセスの完全性とセキュリティを確保するために、様々なサイバーセキュリティテスト手法を採用しています。
FoodSafe Corporationは、効果的な脆弱性評価プロセスを実施するために、脆弱性評価ツールを活用し、サーバーやワークステーションなどのネットワークホストにおける脆弱性を検出しています。さらに、FoodSafe Corporationは、明確なテスト目標を定義し、検出フェーズにおいて経営陣の承認を得るよう、綿密な取り組みを行っています。この体系的なアプローチにより、明確な目標に基づいた脆弱性評価が実施され、経営陣が積極的に関与し、評価プロセスを支援することで、サイバーセキュリティの卓越性に対する同社のコミットメントが強化されています。
FoodSafe Corporationは、NIS 2指令に準拠し、内部評価に続いてパートナーによる追加監査を実施することで、監査を中核業務に組み入れています。これらの監査の有効性を確保するため、同社は業務分野、手順、およびポリシーを綿密に特定しました。しかし、FoodSafe Corporationは、内部コンプライアンス監査プロセスの一環として、体系的な監査スケジュールを使用していませんでした。FoodSafeの組織図には監査チームの役割が明確に示されていませんが、内部監査プロセスは適切に構成されています。監査人は、確立されたポリシーと手順を熟知し、ワークフローを包括的に理解します。監査人は従業員との議論を深めることで洞察力を高め、重要な詳細を見落としがないようにしています。
その後、FoodSafe Corporationの監査員は、社内で必要な変更と改善を行うための基盤となる包括的な報告書を作成します。また、監査員は、不適合や改善の機会に対応する行動計画のフォローアップも行います。
同社は最近、新製品とサービスを追加することで提供範囲を拡大しましたが、これはサイバーセキュリティプログラムに影響を与えました。そのため、サイバーセキュリティチームはこれらの追加機能を既存のフレームワークに安全に統合し、適応させる必要がありました。FoodSafe Corporationは、製品の品質と運用効率を確保するために、監視および測定プロセスを強化することに尽力しています。その際、同社は対象ユーザーを慎重に検討し、監視および測定結果の報告に適した方法を選択しています。これには、レポートにグラフィック要素を追加し、エンドポイントにラベルを付けるなど、より明確で直感的なデータ表示を提供することで、組織内での意思決定の改善を促進することが含まれます。
シナリオ 8 に基づいて、FoodSafe Corporation は監視および測定の結果を伝達するためにどのような方法を採用しましたか?