機器とメディアの完全な記録を維持することで、組織の資産使用状況の追跡と管理が強化され、運用効率を維持し、資産が効果的に使用されるようにするために不可欠です。

リモート アクセスとは、デバイスまたはホストによって外部ソースから組織の内部ネットワークおよびシステムに接続されることです。リモート アクセスにより、作業者の柔軟性と生産性が向上しますが、不正アクセス、データ漏洩、マルウェア感染、ネットワーク侵害などの重大なセキュリティ リスクも生じます。したがって、情報セキュリティ ポリシー内でサード パーティによるリモート アクセスの使用を評価することが重要です。情報セキュリティ ポリシーでは、リモート アクセスの役割、責任、標準、および手順を定義する必要があります。
情報セキュリティ ポリシー内での第三者のリモート アクセスの使用を評価する重要な要素の 1 つは、多要素認証の使用を特定することです。多要素認証は、ユーザーが知っている情報 (パスワード、PIN など)、ユーザーが所有している情報 (トークン、スマート カードなど)、またはユーザー自身 (指紋、顔など) など、2 つ以上の要素を要求することでリモート ユーザーの ID を確認する方法です。多要素認証により、攻撃者が正当なユーザーになりすましたり、不正アクセスしたりすることが困難になるため、リモート アクセスのセキュリティが強化されます。NIST の企業向けテレワーク、リモート アクセス、BYOD (個人所有デバイス) セキュリティ ガイド1 によると、多要素認証はすべてのリモート アクセス、特に機密データや特権アカウントへのアクセスなど、リスクの高い状況で使用する必要があります。
その他のオプションは、情報セキュリティ ポリシー内での第三者によるリモート アクセスの使用を評価するためのコンポーネントではありません。ブロックされた IP アドレス範囲の維持、ネットワーク コンポーネントのテストおよび展開手順の確認、ルーターのポートの構成に関するガイドラインの提供はすべてネットワーク セキュリティ制御の例ですが、リモート アクセスに固有のものではありません。これらは全体的な情報セキュリティ ポリシーの一部である可能性がありますが、リモート アクセスのセキュリティを評価するには十分ではありません。
参考文献:
* エンタープライズテレワーク、リモートアクセス、BYOD（個人所有デバイス持ち込み）セキュリティに関するNISTガイド
* 効果的なリモート アクセス ポリシーを実装する方法
* サードパーティのアクセス管理に優れたアプローチが必要な理由

訪問者を常にエスコートすることで、機密エリアへの訪問者のアクセスを確実に制御できます。訪問者が行ける場所を厳密に監視することで、組織は重要なエリアへの不正アクセスを防ぎ、全体的なセキュリティを強化できます。

ソフトウェア開発サービス プロバイダーのソフトウェア開発ライフサイクルやコード レビューなどの領域にアンケートを集中させることが重要です。これらのプラクティスは、作成されるソフトウェアの品質とセキュリティに直接影響し、全体的なリスク姿勢に影響を与えるためです。

障害復旧の最初のステップとして、混乱の範囲を把握することが重要です。この知識があれば、組織はリソースを効果的に割り当て、最も影響の大きい領域に基づいて復旧アクションの優先順位を付けることができます。