情報セキュリティリスク対応結果の文書化
ISMS情報セキュリティマネジメントシステム文書化の秘訣
... 2 引用規格 ································································· 81 3 用語及び定義 ····························································· 81 4 ISMS の確立 ...
5
IPA テクニカルウォッチ 自動車の情報セキュリティ に関するレポート ~ ネットワーク化 オープン化が進む自動車の安全 ~
... EU のプロジェクトとし てセキュリティチップの開発を行っている。このセキュリティチップは、セキュリティ 性能及び機能によって、 「light」「medium」「full」の 3 つのレベルに分かれており、車 載システムの機能や要件に従って、適切なレベルのものを選ぶ形となっている。この取 組みは、現在は ...
17
Contents 0. 導入 : リスクとは? 1. リスクマネジメントの国際標準 - ISO (JIS Q 31000), ISO Guide 73 (JIS Q 0073) 他 2. 情報セキュリティマネジメント (ISM) の国際標準とリスクマネジメント - ISO/IEC 270
... 参考文献 [1] ISOマネジメントシステム／リスクマネジメントの標準化，日本規格協会， http://www.jsa.or.jp/stdz/mngment/risk.asp [2] リスクマネジメントに関する国際標準規格ISO31000の活用（TRC EYE vol.266），東京海上日動リスクコンサ ...
44
特定 (ID) ID.RA-1: 資産の脆弱性を特定し 文書化している ID.RA-2: 情報共有フォーラム / ソースより 脅威と脆弱性に関する情報を入手している ID.RA-3: 内外からの脅威を特定し 文書化していリスクアセスメント (ID.RA): 企業はる 自組織の業務 ( ミッション 機
... PR.MA-2: 自組織の資産に対する遠隔保守は、承認 を得て、ログを記録し、不正アクセスを防げる形で 実施している。 情報を保護するためのプロセスおよび手 順（PR.IP）: （目的、範囲、役割、責 任、経営コミットメント、組織間の調整 を扱う）セキュリティポリシー、プロセ ス、手順を維持し、情報システムと資産 ...
9
セクション 1: 評価情報 提出に関する指示 加盟店は PCI データセキュリティ基準 (PCI DSS) の要件およびセキュリティ評価手順の自己問診結果を表明するものとしてこの文書の記入を完了する必要があります この文書のすべてのセクションの記入を完了します 加盟店は 該当する場合 各セクションが
... SAQ のすべてのセクションを完了し、すべての質問に対して肯定的に答えたため、全体的な評価が準拠にな り、 (加盟店名)は PCI DSS に完全に準拠していることを示しました。 非準拠 : PCI SAQ のすべてのセクションを完了したが、一部の質問に対して肯定的に答えられていないため、全体的な 評価が非準拠になり、 (加盟店名)は PCI DSS ...
9
サイバーセキュリティの現状と経済産業省としての取組 経済産業省 サイバーセキュリティ 情報化審議官 伊東寛
... 高度標的型サイバー攻撃を受けた組織への初動対応支援 平成26年7月、IPAに、個々の組織の能力では対処困難な、高度標的型サイバー攻撃を 受けた組織に対する初動対応を行う「サイバーレスキュー隊(J-CRAT)」を立ち上げ。 （J-CRAT（ジェイ・クラート）：Cyber Rescue and Advice Team against targeted attack ...
35
セキュリティ侵害のリスクの現状・動向
... ・個人情報の漏えいの可能性があるときのリスクコミュニケーション 方針や、Webサイトを停止するときの公表方法等の方針を決める。 ・外部からのセキュリティインシデントに対する指摘をスムーズに対 応するため、社内の適切なセキュリティ担当者に情報が正確に伝 ...
22
セキュリティ対応組織(SOC/CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」
... 攻撃ベクター 7 脆弱性情報とは異なり一意に決まる識別子がない場合があるが、関係者が理解できる何 らかの名称を設定する必要がある。 また、脆弱性のように対象の有無を明確に線引きできず、多くは「要対応」と判断する ことになるかもしれない。例えば「東欧諸国を狙った標的型攻撃」のように攻撃者のター ...
21
agenda 最近のセキュリティリスクの傾向 標的型攻撃にみる攻撃の構造例 サプライチェーン攻撃で鉄壁の守りも突破 ビジネスメール詐欺の被害拡大 サイバーセキュリティ経営ガイドライン 攻撃の組織化とCSIRT CSIRTによるインシデント対応 1
... ・インシデントの検知、調査を可能とするシステムや運用の環境を作る。 ポリシーと 手順書 ・インシデント対応には、組織方針に沿った活動や外部との連携が必須。 ・公的機関、政府、協力会社など関連組織との連携を意識した準備をする。 ...
32
セキュリティ被害調査ワーキンググループ 目的 情報セキュリティインシデントにおける被害の定量化 適切な情報セキュリティに対する投資判断 投資対効果の提示 企業における情報セキュリティインシデントに係る被害額 投資額などの実態をアンケートやヒアリングによって調査した この調査結果をもとに 情報セキュリ
... 10. セキュリティ被害調査の方向 企業・組織の機密情報／個人情報漏えいリスクの調査 ⇒ 情報セキュリティ大学院大学と連携して実施 個人特性とインシデント発生確率の調査 ...
26
IAEA 核セキュリティ シリーズ 核物質及びその他の放射性物質及びそれらの関連施設に係る盗取 妨害破壊行為 無許可立入及び不法移転又はその他の悪意のある行為に対する 防止 検知及び対応に関係した核セキュリティの問題は IAEA 核セキュリティ シリーズの文書で取扱われる これらの文書は 改正された
... I の 核物質 及び可能性のあるその他の区分の 核物質 の国際 輸送 中、特に武装 警 備員 に伴われている場合、 物理的防護措置 の責任は、関係国によって受入れられた書面 による取決めが必要とされるべきである。発送国、荷受国及び通過国並びに 輸送手段 の 旗国の関係 所管当局 ...
60
目次 1. はじめに 2. 標的型サイバー攻撃の概要と対策 2.1 情報共有イニシャティブJ-CSIP 2.2 標的型メール攻撃に向けた設計ガイド 3. 新たな脅威分野への対応 3.1 制御システムセキュリティへの対応 3.2 自動車の情報セキュリティへの対応 4. おわりに 2
... ＜現状：SIG拡大とSIG間共有を実施＞ ●重工各社との間で秘密保持契約（NDA）及び運用ルールを策定、攻撃情報の共有を開始（平成24年4月）。 ●重工以外の重要業界毎においても情報共有体制の確立を推進することとして、電力、化学、ガス、石油業界等の代表企業 と秘密保持契約を締結（～平成24年10月）。 ５つの業界SIG、 ...
52
プレスリリース全文 プレス発表 「制御システムのセキュリティリスク分析ガイド」の「早分かり 活用の手引き」を公開：IPA 独立行政法人 情報処理推進機構
... IPA では「早分かり 活用の手引き」により、分析ガイド、別冊の活用が広がり、制御システムおよび 重要インフラの事業者において適切なセキュリティ対策の策定が進展することを期待しています。 ■本件に関するお問い合わせ先 IPA 技術本部 セキュリティセンター 技術ラボラトリー 金野／辻 Tel: 03-5978-7527 Fax: 03-5978-7552 ...
1
目次 2017 年情報セキュリティインシデントに関する調査結果 ~ 個人情報漏えい編 ~( 速報版 ) の解説 個人情報漏えいインシデントの公表ガイダンスについて 2/23
... 2. ガイダンスの構成 さまざまな情報セキュリティインシデントのうち、もっとも公表すること が多い 個人情報漏えいインシデントの公表ガイダンス を作成 個人情報漏えいインシデントの公表ガイダンス 公表文書サンプル（企業編、学校編） ...
24
説明項目 1. 審査で注目すべき要求事項の変化点 2. 変化点に対応した審査はどうあるべきか 文書化した情報 外部 内部の課題の特定 リスク 機会 関連する利害関係者の特定 プロセスの計画 実施 3. ISO 14001:2015への移行 EMS 適用範囲 リーダーシップ パフォーマンス その他 (
... パフォーマンスが改善されない場合の審査アプローチ（ 1） EMSの審査にあたり、パフォーマンスが改善されていない 場合、不適合になるのか？ パフォーマンスがあがっていないことは、システムが効果 的に機能していないことを意味する。これは不適合につな がる可能性が高い ...
26
セキュリティ対応組織の教科書 第2版
... 「運用」と「対応」の業務が日々行われていく。その中で、業務プロセス上の問題点や、 セキュリティ対応システムにおける課題が必ず発現するため、必ず見直しを行い、それら の課題に対し、導入された仕組みの中で、短いサイクルで改善を行っていく必要がある。 ...
59
大学における情報セキュリティ対策と情報セキュリティポリシーの浸透 岡部寿男京都大学学術情報メディアセンター長 概要 : 大学におけるキャンパスネットワーク運用の歴史はセキュリティインシデントへの対応の歴史でもあった インターネットの導入が早期行われた大学ほど キャンパスネットワークはオープンで かつ
... 情報セキュリティポリシーの浸透 岡部 寿男 京都大学 学術情報メディアセンター長 概要：大学におけるキャンパスネットワーク運用の歴史はセキュリティインシデントへの対応の歴史でもあった。インター ...
7
IAEA 核セキュリティ シリーズ 核物質及びその他の放射性物質及びそれらの関連施設に係る盗取 妨害破壊行為 無許可立入及び不法移転又はその他の悪意のある行為に対する 防止 検知及び対応に関係した核セキュリティの問題は IAEA 核セキュリティ シリーズの文書で取扱われる これらの文書は 改正された
... 要に応じて定期的にレビューすべきであり、輸送セキュリティ計画の規定に従うべきと の要求を含めるべきである。輸送セキュリティ計画に対する責任及び所有権が明確に規 定されるべきである。この計画は、輸送中の放射性物質を防護するために設置される全 体的な核セキュリティシステムについて記述すべきであり、増大する脅威レベル、核セ ...
37
IAEA 核セキュリティ シリーズ 核物質及びその他の放射性物質及びそれらの関連施設に係る盗取 妨害破壊行為 無許可立入及び不法移転又はその他の悪意のある行為に対する 防止 検知及び対応に関係した核セキュリティの問題は IAEA 核セキュリティ シリーズの文書で取扱われる これらの文書は 改正された
... と 対応 分野の核セキュリティ活動に係る職員が、その役目に応じた適切 なレベルまで、公式なプロセスにより明らかに信頼性があると判断できることを確実に すべきである。この公式なプロセスは、違法行為に関与する許可された職員、例えば内 部脅威者のリスクを低減することを支援する役割をすべきである。国は、職員の個人の ...
40
個人のセキュリティリスク認知に関する研究
... 1. はじめに 近年インターネットが身近なものとなり，企業や組織のシステムや個人が所有する情報 機器のセキュリティ対策の重要性は高まっている．なかでも、情報セキュリティ対策を推 進するうえで，経営者による情報セキュリティ対策導入や個人のセキュリティ対策実施な ...
15