“性善説”で考えるセキュリティ、もうやめませんか？

こんにちは。アイレットのcloudpack事業部で情報セキュリティ管理を担当している齊藤愼仁です。 突然ですが、読者の皆さんは自社の情報セキュリティをどのようにして評価していますか？ 規模はさまざまだと思いますが、何かしらの対策や決まりごと、はたまた暗黙なルールや自制心などがあるのではないでしょうか。 情報セキュリティが担保できているかどうかを評価するためには「一定の基準」が必要になります。その基準を用意してくれるのが外部の監査機関です。 “史上最強”の情報セキュリティ監査――「SOC2」って何ですか？ セキュリティ監査と言えば、日本国内ではプライバシーマーク制度が有名ですが、これはあくまでも国内に限った話ですし、個人情報の取り扱いについてのみ言及されているもので、プライバシーマークを取得している企業だからといって、情報セキュリティが担保されていることの証明にはなりません。 そこでISOを

[nekotricolor]

セキュリティ屋はずっと昔から性悪説信者だと思います。因業な職業です。

[mixvox-j]

"SOC2の興味深いところは、これらの無理難題を“クリアしなさいとは言ってこない”点です。あくまでもレポートとして記述されるので、会社のありのままの状況が記述されます。"

[ikedas]

「監査ではなく報告」というのは素晴らしいね。セキュリティはそうあるべきだと思う。セキュリティもサービスの一環なので、UXを踏まえて設計しないといけない。「期待」ではなく「誘導」、そして「（暗黙の）強制」