メインコンテンツまでスキップ

統制・組織を設計する

責任分担、証跡、リスク評価、統制基準と人材の育成。

文書番号タイトル概要
2604.00007セキュリティ組織設計：企画と運用を分けるセキュリティ組織を企画と運用に分ける考え方を、責任分担、実行体制、継続運用の観点で整理する記事です。
2606.00007開発とセキュリティ部門の責任分担開発側の判断材料、専門部署の支援、CI/CDの検査、例外承認を対応付ける組織設計案。
2601.000013ライン3ラインモデルの基本と、セキュリティ組織に当てはめる際の責任分担、監督、現場支援の関係を整理する記事です。
2604.00013ベンダー丸投げを防ぐ責任分解チェックSaaSやPaaSの責任共有モデルとベンダー丸投げ体質が重なる場面で、正しい責任分解を引き出すチェック項目設計を整理する記事です。
2604.00012大企業向けセキュリティ証跡基盤の作り方システム数が膨大で環境も多様な大企業を想定し、数年単位で証跡中心の統制基盤を作る考え方を整理する記事です。
2604.00011チェックリスト疲弊を超えるセキュリティ説明責任チェックリスト中心のセキュリティ確認を、統制目的、証跡、継続監視、例外判断へ組み替えるための記事です。
2605.00002FAIRモデルとは何か：サイバーリスクを「高・中・低」ではなく「金額」で説明する方法FAIRモデルを使って、サイバーリスクを高・中・低ではなく損失発生頻度と損失規模から金額で説明する考え方を整理する記事です。
2604.00003直近1年間の公的ガイド・業界指針から読む システムセキュリティの共通潮流直近の公的ガイドや業界指針を横断し、システムセキュリティで共通して強まる要求と潮流を整理するレポートです。
2604.00008セキュリティ人材マップの作り方セキュリティ人材マップの作り方を、役割、スキル、タスク、成長段階の観点で整理する人材設計記事です。
2609.00001AI時代のシステム会社における人事評価制度のあり方Performance、Capability、Organizational Contributionを分け、学習を将来の組織能力へ変える評価制度の設計原則と実装例を整理する。
2604.00029統制・実装基準統制目的、システム分類、担当者別実装基準、証跡基準、例外管理、評価報告を分けて定義する基準文書体系の入口です。
2604.0001400 全体原則統制・実装基準体系の目的、適用原則、用語、責任構造、禁止事項、共通IDを定義する基準文書です。
2604.0001501 システム分類と適用判定統制・実装基準の適用深度を決定するためのシステム分類、判定軸、Tier、再判定条件を定義する基準文書です。
2604.0001602 統制目的カタログ組織共通の統制目的ID、統制目的、主担当、代表証跡、評価指標を定義する基準文書です。
2604.0001703A システムオーナー実装基準システムオーナーが満たすべき分類、責任、データ、リスク受容、改善計画、委託先責任の実装基準です。
2604.0001803B インフラ・基盤実装基準インフラ・基盤担当が満たすべき資産、構成、ネットワーク、脆弱性、鍵、バックアップ、共通統制の実装基準です。
2604.0001903C アプリ・開発実装基準アプリ・開発担当が満たすべき設計、認証認可、入力検証、CI/CD、依存関係、リリース、AI実装の基準です。
2604.0002003D 運用・監視実装基準運用・監視担当が満たすべきログ、監視、変更管理、作業承認、インシデント初動、復旧対応の基準です。
2604.0002103E 外部サービス・委託先管理実装基準SaaS、クラウドサービス、業務委託、再委託、契約、監査報告、解約時削除に関する実装基準です。
2604.0002204 証跡基準統制有効性を説明するための証跡種別、信頼度、メタデータ、鮮度、保存、改ざん耐性、証跡契約を定義する基準です。
2604.0002305 例外管理とリスク受容基準統制・実装・証跡の未達を管理するための例外、代替統制、残余リスク、承認、期限、再評価の基準です。
2604.0002406 評価・報告基準統制有効性、証跡品質、例外滞留、是正速度、再指摘を評価し、経営、2線、内部監査へ報告する基準です。
2604.0002590 出典マッピングNIST、政府統一基準、金融庁、OWASP、CIS、ISO、PCI DSS等の外部基準を統制目的IDへ対応付ける付録です。
2604.0002691 証跡テンプレート集証跡契約、例外申請、アクセスレビュー、復元試験、委託先評価、リリース承認などの標準テンプレートを定義します。
2604.0002792 チェックリスト索引従来のチェックリスト項目を統制目的ID、担当者別実装基準、証跡基準、例外管理へ接続する索引です。
2604.0002893 証跡DB設計証跡レジストリを実装するための概念図、ER関係、テーブル設計、更新責任、1対多・多対多関係を定義します。