蔵本雄一のレビュー一覧
-
Posted by ブクログ
「もしも社長がセキュリティ対策を聞いてきたら」の第２弾。
第１弾と同様、セキュリティ対策について
経営層とコミュニケーションを取る際に、
どうしたらより理解してもらえるか、解説しています。
今度は入門編と題し、第１弾よりもより具体的に、
ありがちな失敗例と、なぜ失敗したかの分析、
うまくコミュニケーションがとれた事例が書かれています。
その事例の数や、２９パターン。
素朴な疑問、無理難題、いずれの事例も極めて具体的で、
実際の現場で「あるある」なリアルさ。
経営層とのコミュニケーションのみならず、
「セキュリティ？よくわかんない」とおっしゃる方に
説明する時にも使えそうです。
コミュニケーション方法だけでなく、
セキュリティ対策の基本的考え方や
リスク分析手法などの説明もあり、
コミュニケーションをとる準備段階にも
使える知識がたくさん。
レイアウト、文章も見やすく、読みやすい。
セキュリティ対策の基本について、
足固めしたい方にもおすすめです。 -
-
-
-
Posted by ブクログ
セキュリティ対策に関する基本的な考え方や
アプローチ方法を体系的に学べる本。
当たり前のところもあるものの、改めて気づきが得られ、
セキュリティについて考えるときに大変参考になった。
マーケティングの考え方がセキュリティにも活かせる
というのは新たな知見だったかな。
【勉強になったこと】
・セキュリティ対策についても定量化が必須。
そのための手段としてFMEAというものがある。
リスク優先度算出時の構成要素：
発生頻度、影響度、防御困難度
それぞれに対して4段階で点数化し、
優先度の高い内容から対策を施していく。
場合によっては、影響度のポイントを上げる。
・セキュリティは「監視的コスト」
・セキュリティ対策
Get Secure：セキュアにする
- システム化、教育といった対策
Stay Secure：セキュアに保つ
- 検知、可視化、改善
・セキュリティでは問題解決のPDCAを回すことが重要。
Problem-Finding：問題発見
Display：可視化
Clear：問題解決
Acknowledge：確認
・PEST分析
Political：政治的環境要因
Economic：経済的環境要因
Social：社会的環境要因
Technology：技術的環境要因
・セキュリティ対策の4段階
準備 → 検知・分析 → 根絶・復旧・封じ込め
→ 事件発生後の対応
検知・分析部分の強化が早期発見への近道。
・セキュリティルール作りの際の考え方
ポリシー：情報セキュリティに関する基本方針
スタンダード：実施する対策
プロシージャ：利用する製品や管理手順
・内部不正に対しては、
機会、同期を下げることで発生頻度を下げるのがよい。
一例として、
操作ログを取得する
操作ログを分析する
管理者権限は申請時しか利用させない
セキュアな領域での作業は必ず2人1組
といったのがある。
・セキュリティ対策のCIA
機密性：アクセスできる人だけアクセスできる
完全性：更新権がある人のみ修正できる
可用性：いつでも使える
・マッキンゼーの7S
Shared Value（価値観）：ソフト
Strategy（戦略）：ハード
Structure（組織）：ハード
System（システム）：ハード
Skill（スキル）：ソフト
Staff（人材）：ソフト
Style（スタイル・社風）：ソフト