コンプライアンス体制の変更を検出する

学習の目的

この単元を完了すると、次のことができるようになります。

• 組織のコンプライアンス体制の変更を検出するためにサイバーセキュリティコンプライアンスアナリストが果たす役割を説明する。
  
• サイバーセキュリティコンプライアンスアナリストが既存のプロセスやコントロールへの適切な変更を判断するために継続的にサイバーギャップを監視する方法を説明する。
  

組織のサイバーセキュリティコンプライアンス体制の変更を検出する

組織のデータ保護を強化するには、常に警戒を怠らずに組織のサイバーセキュリティコンプライアンス体制の変更を検出する必要があります。変更は、組織で合併や買収が行われた場合、新しいテクノロジーが統合された場合、新しい脆弱性が発見された場合に発生することがあります。 

また、自然災害による組織の物理的なインフラストラクチャや IT システムへの損害によって、または地政学的な紛争やその他の世界的な出来事によって、体制が変更されることもあります。このような変更があった場合には、組織のコンプライアンス体制を再評価して、セキュリティを維持するためにどのような調整が必要かを明らかにする必要があります。たとえば、あなたの組織の仮想プライベートネットワーク (VPN) インフラストラクチャは、地域的な混乱が発生した場合でもアクセスを確保できるように地理的に十分に分散されていますか? 従業員が (さまざまな地域にある) 自宅からリモートで仕事をすることで増えたトラフィックに対応できますか?

また、新しいコンポーネントやテクノロジーを取得、統合、リリース、メンテナンスした場合にも、変更によって保護が損なわれていないことを確認するために組織のセキュリティ体制を継続的に監視する必要があります。既存のセキュリティコントロールへの追加や変更は、慎重かつ計画的に行う必要があります。セキュリティチームは環境をテストして、コントロールへの変更によって重要な機能が損なわれたり新しいリスクが発生したりしていないことを確認する必要があります。

組織のインフラストラクチャは頻繁に変更されるため、サイバーセキュリティコンプライアンスアナリストは反復的な監査を参考にして、セキュリティ要件を整理し直し、セキュリティ設定を変更する必要があります。また、規制やポリシーの環境の変化も検出して、それに対応する必要もあります。

既存のプロセスとコントロールでの問題を監視する

サイバーセキュリティコンプライアンスアナリストはただ座って待っていて、侵害が発生してから対応するのではありません。予防的に組織を監視することで、企業のサイバーセキュリティコンプライアンスとコントロールの不備を特定、分析し、システム所有者、業務担当役員、経営陣に報告します。それによって組織は安全なコンプライアンス体制を維持し、潜在的なインシデントに対して後手にならず先手を打つことができます。

Jason を紹介します。彼は金融機関のサイバーセキュリティコンプライアンスアナリストです。組織のサイバーセキュリティコンプライアンス体制の既存のプロセスやコントロールに問題がないかの監視に協力することになっています。Jason の重要な仕事の 1 つは、脆弱性スキャンチームや侵入テストチームと連携してセキュリティの弱点を検出することです。その後、その脆弱性を環境全体で探すことで、システム上の問題を監視します。この調査では、コントロールが効果的に機能しているかどうかがわかるため、それに応じて調整します。 

さらに、Jason は組織のサイバーセキュリティコンプライアンス体制を正確に把握しておくために主要業績メトリクスを監視します。メトリクスを収集して分析し、その結果を定期的に組織の経営陣に報告します。たとえば、完全にパッチが適用されて最新状態になっているエンドポイントの個数 (および割合) を監視します。また、ソフトウェアの新しいバージョンがリリースされたときに更新にかかる期間と組織が完全採用を達成するまでの期間も調査します。 

Jason は組織のサイバーセキュリティコンプライアンス体制を監視しながら、コンプライアンス活動と修復措置の状況を定期的に報告し、潜在的なリスクが高い状況があれば必要に応じてエスカレーションします。異常があればそれを追跡して検出し、侵害やインシデントの可能性についてすぐにセキュリティマネージャーに通知します。また、サイバーセキュリティリスクマネージャーと一緒に組織のリスク選好度を定期的に確認し、必要に応じてサイバーセキュリティコンプライアンス計画を調整します。これらのすべての作業は成功につながり、彼はパフォーマンスの高いサイバーセキュリティコンプライアンスアナリストになることができます。  

リソース

• 外部サイト: Bitsite: Cybersecurity Posture (サイバーセキュリティ体制)