資産管理とは、組織の物理的資産とデジタル資産を識別、追跡、管理するプロセスです。資産管理プログラムは、資産の最適な使用、セキュリティ、廃棄を保証するための一連のポリシー、手順、ツールです。Shared Assessments CTPRP 学習ガイド 1 によると、資産管理プログラムには次のコンポーネントが含まれている必要があります。
* 資産インベントリ: ハードウェア、ソフトウェア、データ、サービスなど、組織が所有、リース、または使用しているすべての資産の包括的かつ正確なリスト。資産インベントリには、データを処理する外部の関係者、ネットワーク、またはシステムへの接続を含める必要があります。これにより、追加のリスクと依存関係が生じる可能性があるためです12。
* 資産所有者: 各資産の役割と責任を明確に割り当て、資産のライフサイクル全体にわたって責任を負う組織の所有者を含めます。資産所有者は、組織のポリシーと標準に従って、資産が適切に維持、更新、保護、および処分されるようにする必要があります13。
* 資産分類: 資産の重要性やデータの機密性に基づいて資産を分類する、一貫性のある客観的な方法。資産分類は、各資産の適切な保護、監視、テストのレベル、および資産の損失や侵害の潜在的な影響を判断するのに役立ちます1。
* 資産管理: 資産を不正アクセス、使用、変更、開示、破壊から保護するための一連の対策とメカニズム。資産管理には、ロック、暗号化、パスワード、ポリシー、契約などの物理的、技術的、管理的、契約上の手段が含まれる場合があります1。
資産管理プログラムの構成要素を表す可能性が最も低い記述は D です。資産インベントリは、生産ライン全体で製品およびサービスを実行するために使用されるアイテムの流れまたは配布を追跡する必要があります。この記述は、資産管理機能ではなく、サプライ チェーン管理機能について説明しています。サプライ チェーン管理は、サプライヤーから顧客への材料、情報、およびサービスの流れを計画、調整、および制御するプロセスです。サプライ チェーン管理には、在庫管理、品質保証、ベンダー リスク管理など、資産管理のいくつかの側面が含まれる場合がありますが、資産管理と同じではありません。資産管理は、組織が所有または使用する資産に焦点を当てており、組織が生産または提供する資産には焦点を当てていません。
参考文献:
* 1: 共有評価。(2020) 認定サードパーティリスク専門家 (CTPRP) 学習ガイド。
* 2: ISACA (2019) COBIT 2019 フレームワーク: ガバナンスと管理目標。APO03 エンタープライズ アーキテクチャの管理。
* 3: ISO. (2018). ISO/IEC 27001:2018 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件。条項 8.1.2 資産管理の役割と責任。
* : NIST。(2013) NIST 特別刊行物 800-53 改訂 4 連邦情報システムおよび組織のセキュリティとプライバシー管理。RA-2 セキュリティ分類。
* : NIST。(2013) NIST 特別刊行物 800-53 改訂 4 連邦情報システムおよび組織向けのセキュリティとプライバシー管理。CM-8 情報システム コンポーネント インベントリ。
* : APICS。(2018) APICS辞書、第16版。サプライチェーンマネジメント。
* : ISACA (2019)。COBIT 2019 フレームワーク: ガバナンスと管理目標。APO13 セキュリティの管理。

ベンダーの自己評価アンケートの回答を活用することは、徹底性とリソースの割り当てのバランスを保ちながら、リスクの低いベンダーに対してデューデリジェンスを実施するための標準的かつ効率的なアプローチです。

RPO は、データ損失が許容される最大許容期間を設定するため、災害復旧計画において重要です。データ損失がこの期間を超えると、バックアップおよび復旧戦略が不十分であり、定義された目的を満たすために強化が必要であることを示します。

従業員の退職時にすべてのデバイスを返却するという厳格なポリシーは、主に組織のデータ セキュリティと資産管理を保護します。すべての資産が確実に返却されることで、企業はデータ漏洩を回避し、リソースを効果的に管理できます。

組織のリスク実態を効果的に強化するには、一貫性のあるリスク認識に基づく意思決定を促進する価値観と実践を実装することが不可欠です。これには、リスクの考慮が日常の意思決定に自然に組み込まれる環境を育み、組織のリスク管理へのアプローチがプロアクティブで、その文化に深く根付いていることを保証することが含まれます。