藤田哲矢のレビュー一覧

取引先から信頼される 日本発サイバーセキュリティ基準

■総論
セキュリティリスクの概要や、なぜ今注目されているかわかりやすく整理されている。
本書を読んで具体的にどう行動すべきかは各企業の状況によるので、自分たちで判断すべし。

---

■現状
日本はISMSを取得企業の割合が高いが、サイバー能力ランキングやセキュリティ意識・対応で他国に遅れを取っている。

■課題
セキュリティの重要性は理解しているが人材が足りない、何かあってから対応すればいいと考えている等の課題が存在する。

■対策
NIST CSF等を活用し、自社の現状を正しく理解する。
会社の規模にあわせてポリシーの作戦、CISOの設置、BCP計画の作成など、必要な対策を行う。
正しく運用が回っているか、未知/新規リスクに対応できるか等、継続的にモニタリングする。

---

■その他
ROSIという言葉を初めて知った。
式は至ってシンプルで、納得感がある。

ROSI = セキュリティリスク削減額/セキュリティ投資額
セキュリティリスク額 = ビジネス損失額(影響度) × 発生頻度(発生確率)

サプライチェーン攻撃としては、関連会社や委託先を攻撃するだけでなく、ソフトウェアを狙う手法も存在する。
自社のIT資産を管理する際に、SBOMの考え方を取り入れることも有効とされる。

取引先から信頼される 日本発サイバーセキュリティ基準

本書は、日本のサイバーセキュリティリテラシーの低さを背景に、対策内容よりも「基準」を理解し水準を引き上げる重要性を説く。ISMS取得数は多いものの取得自体が目的化し、過信がリスクを高めている点を指摘。日本のサイバー能力は国際的に高くなく、人材不足や性善説の限界も課題とされる。加えて、ROSIを用いた投資効果の考え方を示し、合理的なセキュリティ投資判断の必要性を解説している。