災害復旧計画における RPO の主な役割は、データが失われる可能性のある最大許容期間を指定することです。この目標は、データ損失を最小限に抑え、インシデント発生中および発生後に運用およびコンプライアンスへの影響が許容範囲内に抑えられることを目的としたバックアップ戦略の開発の指針となります。

アプリケーション サービス プロバイダーのアプリケーション リスクを確認する場合、最も重要な要素は、アプリケーションが処理するデータの機能と種類、リモート接続オプション、および APl 統合方法です。これらの要素によって、アプリケーションの露出レベル、機密性、複雑さが決まり、セキュリティ侵害やコンプライアンス違反の潜在的な影響と可能性が決まります。ソフトウェア リリースの数は、アプリケーションのセキュリティや機能に直接影響しないため、それほど重要ではありません。ただし、ソフトウェア開発プロセスの成熟度と品質を示す可能性があり、これはアプリケーション リスク評価の別の側面です。参考資料:
* アプリケーション セキュリティ リスク: 評価とモデリング、ISACA ジャーナル、第 2 巻、2016 年

インシデント対応における通知義務とは、データやシステムに影響を与えるセキュリティ侵害やインシデントについて関係者に通知する法的または契約上の義務です。これらの義務は、インシデントの種類、範囲、影響、管轄、業界、関連する契約内容によって異なります。通知義務が発生する可能性が最も高い要因は次のとおりです。
* 規制要件: 法律や規制によって、セキュリティ インシデントを経験または引き起こした組織に課される通知義務が異なる場合があります。たとえば、一般データ保護規則 (GDPR) では、データ管理者は個人データの漏洩に気付いてから 72 時間以内に監督当局に通知し、漏洩が権利と自由に大きなリスクをもたらす場合は、影響を受けるデータ主体に遅滞なく通​​知することが義務付けられています1。同様に、コンピューター セキュリティ インシデント通知規則では、銀行とそのサービス プロバイダーは、業務、サービス、または顧客に重大な混乱、劣化、または損害を与えるコンピューター セキュリティ インシデントが発生した場合、できるだけ早く、遅くとも 36 時間以内に、主要な連邦規制当局に通知することが義務付けられています2。
* データの分類または機密性: セキュリティ インシデントに関係するデータの種類と機密性も、通知義務に影響を与える可能性があります。たとえば、データに個人を特定できる情報 (PII)、健康情報、財務情報、またはその他の機密情報または機密情報が含まれている場合、組織はデータ所有者、規制当局、法執行機関、またはその他の利害関係者にインシデントとプライバシーまたはセキュリティへの潜在的なリスクについて通知する必要があります3。データの分類または機密性によって、通知の内容とタイミング、および使用する適切な通信チャネルも決まる場合があります。
* 契約条件: 組織とサードパーティのベンダーまたはサービス プロバイダーとの間の契約では、セキュリティ インシデントが発生した場合の通知義務も規定される場合があります。たとえば、契約では各当事者の役割と責任、通知手順とタイムライン、共有する情報、実行する修復措置、契約違反に対する罰則または責任が定義される場合があります。契約条件には、組織またはサードパーティに適用される規制要件または業界標準が反映される場合もあります。
通知義務が発生する可能性が最も低い要因は次のとおりです。
* データの暗号化: データの暗号化は、不正なアクセス、変更、開示からデータを保護するセキュリティ対策です。データの暗号化により、悪意のある人物によるデータの露出を防止または制限できるため、セキュリティ インシデントの影響や重大性を軽減できます。ただし、データの暗号化によって通知義務がなくなるわけではありません。組織は依然としてインシデントの性質と範囲を評価し、暗号化が有効であったか侵害されたかを判断する必要があります。さらに、データの暗号化だけでは、削除、破損、ランサムウェアなどの他の種類の脅威からデータを保護できない場合があります。したがって、データの暗号化は、インシデント対応における通知義務に影響を与える要因ではありません。
参考文献:
* 1: GDPR第33条: 監督当局への個人データ侵害の通知
* 2: コンピュータセキュリティインシデント通知ルール
* 3: サードパーティインシデント管理（TPIM）：サードパーティとのIRPのバランスをとる方法
* : [サードパーティのインシデント対応の改善]
* : [サードパーティ インシデント対応プレイブック]
* : [暗号化はデータ漏洩からあなたを守りますか?]

機密エリアにおける複数層のアクセス制御は、さまざまな種類の脅威から保護する障壁を作成し、1 つのセキュリティ対策が失敗した場合でも他のセキュリティ対策によって保護が継続されるため重要です。

「修復」という用語は、ビジネス ユニットの関係所有者が修復計画の承認プロセスに不可欠な存在であり、リスク評価中に見つかった欠陥に対処するために必要な修正を監督するため、この空白を適切に埋めます。