プログラム管理と監督

セキュリティガバナンスの要素

セキュリティガバナンス（Security Governance）とは、組織がセキュリティについて「何を・誰が・どう決めて守るか」を定める仕組みのことです。優れた製品を買っても、ルールと責任者が決まっていなければ運用は長続きしません。試験では、文書の種類と役割の名前を正しく使い分けられるかが問われます。

文書の階層: ポリシー・標準・手順・ガイドライン

セキュリティ文書は上から下へ具体的になる階層で整理されます。ポリシー（Policy）は経営層が定める方針で「なぜ・何を」を示します。標準（Standard）はポリシーを実現するために必ず従う具体的な要件で、暗号アルゴリズムやパスワードの長さなどを指定します。手順（Procedure）は実際の作業ステップで、ガイドライン（Guideline）は推奨にとどまり強制力がありません。

• ポリシーの例: 利用規定（AUP: Acceptable Use Policy）、情報セキュリティポリシー、事業継続（BC）、災害復旧（DR）、インシデント対応、ソフトウェア開発ライフサイクル（SDLC）、変更管理
• 標準の例: パスワード標準、アクセス制御標準、物理セキュリティ標準、暗号化標準
• 手順の例: 変更管理手順、オンボーディング／オフボーディング手順、プレイブック（Playbook: 特定の事象に対する段階的な対応書）

外部要因とポリシーの見直し

ポリシーは社内の都合だけでは決められません。規制（Regulatory）、法律（Legal）、業界基準（Industry）、そして地域・国・グローバルといった事業範囲ごとの要求を考慮します。事業の拡大や法改正があればポリシーは影響を受けるため、定期的な監視と改訂（Monitoring and revision）が欠かせません。

ガバナンスの構造

システムとデータに関する役割

データには「決める人」と「実行する人」がいます。オーナー（Owner）はデータの分類や利用目的を決める責任者で、多くは業務部門の責任者です。カストディアン／スチュワード（Custodian/Steward）はオーナーの方針に従ってバックアップやアクセス権の設定を日常的に行う担当で、IT部門が担うのが一般的です。プライバシー法制では、処理の目的と手段を決めるコントローラー（Controller）と、その指示で処理するプロセッサー（Processor）という区別が使われます。

リスク管理プロセス

リスク管理（Risk management）とは、すべての脅威を防ぐのではなく、「どのリスクにどれだけお金と手間をかけるか」を合理的に決める活動です。試験では計算問題と用語の分類が頻出です。

リスクの特定とアセスメントの種類

まずリスクの特定（Risk identification）で、資産・脅威・脆弱性を洗い出します。次にリスクアセスメント（Risk assessment）で大きさを評価しますが、その実施タイミングには種類があります。

定性的分析と定量的分析

定性的分析（Qualitative）は、発生可能性（Likelihood/Probability）と影響（Impact）を高・中・低のような段階で評価し、リスクマトリクスに並べる方法です。数字がなくても素早く優先順位をつけられます。

定量的分析（Quantitative）は金額で見積もります。資産価値（AV: Asset Value）に露出係数（EF: Exposure Factor、1回の事象で失われる割合）を掛けると単一予想損失額（SLE: Single Loss Expectancy）になります。これに年間発生率（ARO: Annualized Rate of Occurrence）を掛けると年間予想損失額（ALE: Annualized Loss Expectancy）が求まります。

リスク登録簿と組織の姿勢

特定したリスクはリスク登録簿（Risk register）に記録します。各リスクにはリスクオーナー（Risk owner）を割り当て、悪化を早期に察知するための主要リスク指標（KRI: Key Risk Indicator）とリスク閾値（Risk threshold）を設定します。組織がどれだけのリスクを引き受けるかという姿勢はリスク選好（Risk appetite）と呼ばれ、拡張的（Expansionary）、保守的（Conservative）、中立的（Neutral）に分類されます。実際に許容できる変動の幅はリスク許容度（Risk tolerance）です。

リスク対応の4つの戦略

• 転嫁（Transfer）: 保険や外部委託でリスクを第三者に移す
• 受容（Accept）: リスクを承知のうえで引き受ける。ポリシー要件を満たせない場合は例外（Exception）や免除（Exemption）として正式に文書化する
• 回避（Avoid）: リスクの原因となる活動そのものをやめる
• 軽減（Mitigate）: 対策を導入してリスクを下げる

事業影響分析（BIA）

事業影響分析（BIA: Business Impact Analysis）は、システムが止まったときの影響を分析して復旧目標を決めます。目標復旧時間（RTO: Recovery Time Objective）は「どれだけ早く復旧するか」、目標復旧時点（RPO: Recovery Point Objective）は「どの時点までのデータ損失を許すか」です。平均修復時間（MTTR）と平均故障間隔（MTBF）は機器の信頼性を表す実績値で、可用性はMTBF÷（MTBF＋MTTR）で求められます。

サードパーティリスクの評価と管理

自社のセキュリティがどれだけ強くても、クラウドや委託先が破られれば同じ被害を受けます。サードパーティリスク管理（Third-party risk management）は、取引先に起因するリスクを契約前の評価、契約内容、契約後の監視という3段階で管理する考え方です。

ベンダーの評価と選定

契約前には相手を十分に調べるデューデリジェンス（Due diligence）を行います。具体的には、質問票（Questionnaire）でセキュリティ体制を確認し、侵入テストの結果、内部監査の証拠、独立した第三者によるアセスメント報告を求めます。相手の取引先まで含めて供給網を見るサプライチェーン分析（Supply chain analysis）も重要です。選定担当者が候補企業と利害関係を持つ利益相反（Conflict of interest）があれば、申告のうえ担当を交代させます。

契約書類の使い分け

取引の性質によって結ぶ文書が異なります。基本契約（MSA: Master Service Agreement）で支払条件や責任範囲などの共通条件を一度定め、個々の案件は作業範囲記述書（SOW: Statement of Work）や作業指示書（WO: Work Order）で定義します。サービス品質は測定可能な基準と罰則を定めたサービスレベル合意（SLA: Service-Level Agreement）で担保します。

契約後の監視と交戦規定

契約後もベンダー監視（Vendor monitoring）としてSLAの達成状況や監査報告を定期的に確認します。自社や指定した第三者が直接検証できるようにするには監査権条項（Right-to-audit clause）を契約に含めます。ベンダーに侵入テストを依頼する場合は、対象範囲、実施時間帯、禁止手法、緊急連絡先を交戦規定（ROE: Rules of Engagement）として事前に合意し、想定外の影響を防ぎます。

コンプライアンスとプライバシー

コンプライアンス（Compliance）とは、法律、規制、業界基準、契約で求められる要件を満たすことです。守れなかった場合の代償は大きく、「知らなかった」では済まされません。ここでは要件をどう証明し、違反すると何が起きるか、そして個人データを扱う際の役割分担を整理します。

コンプライアンス報告と違反の結果

コンプライアンス報告（Compliance reporting）には、経営層や監査委員会に向けた内部報告（Internal）と、規制当局や顧客に向けた外部報告（External）があります。違反の結果（Consequences of non-compliance）は1つとは限りません。

• 罰金（Fines）: 規制当局や業界団体からの金銭的な罰則
• 制裁（Sanctions）: 業務停止命令などの行政処分
• 評判の毀損（Reputational damage）: 顧客や市場からの信頼の喪失
• 免許の喪失（Loss of license）: 事業に必要な許認可の取消
• 契約上の影響（Contractual impacts）: 取引停止や違約金

コンプライアンス監視

要件を守り続けていることを示すには継続的な監視が必要です。デューデリジェンス（Due diligence）は「十分に調べること」、デューケア（Due care）は「合理的に注意を払って行動すること」で、両者をそろえて初めて責任を果たしたと言えます。従業員がポリシーを読んで遵守を署名で誓う証明と承認（Attestation and acknowledgement）は、デューケアの証拠になります。署名状況の集計や設定の点検を自動化（Automation）すると、内部・外部の両方の監視が効率化できます。

プライバシーの基本概念

個人データの扱いには地域・国・グローバルの各レベルで法的な要求があり、事業範囲が広がるほど従うべきルールが増えます。データによって識別される本人はデータ主体（Data subject）です。処理の目的と手段を決める主体がコントローラー（Controller）、その指示で処理する委託先がプロセッサー（Processor）で、違反時の責任は主にコントローラーが負います。

組織はデータの所有権（Ownership）を明確にし、どのデータがどこにあり、いつまで保持するかをデータインベントリと保持ポリシー（Data inventory and retention）で管理します。本人から削除を求められる忘れられる権利（Right to be forgotten）に期限内で応えるには、この台帳が不可欠です。

監査とアセスメント

ポリシーを作り対策を導入しても、「本当に機能しているか」は確かめなければ分かりません。監査（Audit）とアセスメント（Assessment）はその確認作業です。書類や設定を点検する監査と、実際に攻撃してみる侵入テストの2つの方向から学びます。

内部監査と外部監査

内部監査は自社の都合で柔軟に行えますが、客観性には限界があります。顧客や規制当局に「管理策が有効である」ことを示すには、利害関係のない独立した第三者監査（Independent third-party audit）の報告書が最も信頼されます。監査の結果を文書で保証することを証明（Attestation）と呼び、監査委員会（Audit committee）は取締役会の下で監査活動を監督します。

侵入テストの形式

• 攻撃的（Offensive）: レッドチームが攻撃者として侵入を試みる
• 防御的（Defensive）: ブルーチームが検知と対応の能力を評価する
• 統合的（Integrated）: 攻撃側と防御側がリアルタイムに情報を共有し、その場で検知ルールや手順を改善する（パープルチーム演習）
• 物理的（Physical）: 建物への侵入や施錠の突破など物理面を評価する

環境区分と偵察

テスターに渡す事前情報の量で、既知環境（Known environment）、一部既知環境（Partially known environment）、未知環境（Unknown environment）に分かれます。情報が多いほど網羅的に、少ないほど実際の外部攻撃者に近い形で評価できます。テストの最初の段階である偵察（Reconnaissance）は、公開情報だけを使い対象に一切触れない受動的（Passive）と、ポートスキャンなどで対象に直接パケットを送る能動的（Active）に分かれます。能動的偵察は検知される可能性があります。

セキュリティ意識向上の実践

どれだけ技術的な対策を固めても、従業員が1通のメールのリンクを押せば侵入は成立します。セキュリティ意識向上（Security awareness）は「人」を最後の防御線ではなく最初の検知センサーにするための取り組みで、教育の内容と効果の測り方の両方が試験範囲です。

フィッシングへの対応

フィッシング（Phishing）は、正規の組織を装ったメールで認証情報の入力や添付ファイルの実行を誘う攻撃です。見分けるポイントは、本物に似せた送信元アドレス、緊急性をあおる件名、表示と異なるリンク先、不審な添付ファイルです。

組織は模擬メールを送るフィッシングキャンペーン（Campaign）で従業員の反応を測ります。クリックした人にはその場で短い補足研修を提供し、報告した人には感謝を伝えて報告行動を強化します。報告された不審メールには、調査し本人へ結果を返す体制が必要です。クリックした人を公表して責めると、本物の攻撃を受けたときに誰も報告しなくなります。

異常行動の認識

従業員向けガイダンスと研修の内容

• ポリシーとハンドブック: 守るべきルールの周知と署名
• 状況認識（Situational awareness）: 周囲の不審な人物や行動に気づく習慣
• 内部脅威（Insider threat）: 兆候の理解と報告経路
• パスワード管理: 長いパスフレーズ、使い回し禁止、パスワードマネージャーの利用
• リムーバブルメディアとケーブル: 出所不明のUSBや充電ケーブルを接続しない
• ソーシャルエンジニアリング: 電話や対面での情報の聞き出しへの対処
• 運用セキュリティ（Operational security）: 業務情報をSNSなどで漏らさない
• ハイブリッド／リモート勤務: 自宅ネットワークの保護、画面の覗き見防止、VPNの利用

プログラムの開発・実行・報告

意識向上プログラムは、開発（Development）で対象者とテーマを決め、実行（Execution）で研修や訓練を行い、報告と監視（Reporting and monitoring）で効果を示します。効果を示すには、開始時に初期（Initial）の基準値を測り、その後も定期的（Recurring）に同じ指標を測って推移を報告します。フィッシング模擬訓練のクリック率と報告率、インシデント報告件数が代表的な指標です。