サクサク読めて、アプリ限定の機能も多数!
トップへ戻る
Pixel 9
www.newton-consulting.co.jp
現在、デジタルトランスフォーメーション(DX)が多くの企業で叫ばれていますが、クラウドサービスの浸透がなくてはここまで注目されることもなかったでしょう。既に多くの企業がクラウドサービスを利用しており、政府機関等においてもクラウドを積極的に利用していくようになってきました。 この流れの中で、2020年1月には政府のサイバーセキュリティ戦略本部にて政府機関のクラウドサービス調達にあたっての統一認証制度(ISMAP)を作ることが決定し、2020年10月からクラウドサービス登録申請がスタートしました。ISMAPは米国の政府機関向けクラウドセキュリティ基準であるFedRAMPの日本版と言うべきものです。 そこで本稿は、ISMAPの骨格を知るために、元となる米国のFedRAMPのご紹介をいたします。 FedRAMPはFederal Risk and Authorization Management P
近年、情報収集の手法として「OSINT(オシント)」が注目されています。OSINTとは本来、国家保障等の専門領域で使われる言葉ですが、OSINTの考え方や手法がサイバー攻撃でも用いられていることから、最近ではサイバーセキュリティ分野でも耳にする言葉となりました。本稿では、OSINTの概要やOSINTを用いたサイバー攻撃、企業として注意したい点について解説します。 OSINTとはオープン・ソース・インテリジェンス(open source intelligence)の略称です。これは諜報活動の一種で、一般に公開され利用可能な情報を情報源に、機密情報等を収集する手法を指します。一般に公開され利用可能な情報とは、合法的に入手できる情報で、トップに対するインタビュー記事や企業のプレスリリース、書籍、インターネット情報等が挙げられます。これらを合法的に調べて分析することにより、一見、断片的なデータから
Data Free Flow with Trust(以下、DFFT)とは、2019年1月にスイス・ジュネーブで開催された世界経済フォーラム年次総会(ダボス会議)にて、安倍晋三首相がスピーチで提唱した言葉で、「信頼性のある自由なデータ流通」と訳されます。首相はこの言葉とともに、同年6月に大阪で開催されたG20首脳会議(サミット)にて、日本がGroup of 20(G20)の議長国を務めたことから、「このサミットを世界的なデータガバナンスが始まった機会として、長く記憶される場にしたい」と発言しました。本稿では、DFFTが求められる背景や今後の展望などについて解説します。 日本政府は、DFFTのポイントとしては、大きく2つあるとしています(内閣官房のIT政策大綱概要(*1))。 自由で開かれたデータ流通 データの安全・安心 日本政府の考えるDFFTの趣旨としては、今後のデジタル社会において競争力
改めてリスク対応とは、リスクに関して必要な情報を入手・分析(リスク特定・分析)し、対応の優先順位を決定(リスク評価)した後に行う活動であり、「リスクの対策を決定する」、「対策の導入計画を策定する」、「導入計画を履行する」といった活動を指します。 なお、上に挙げたISO31000は世界で最も有名なガイドラインの一つであり、リスクマネジメント活動のよりどころとなっていますが、このようなリスク対応の考え方やプロセスは、ISMS(情報セキュリティマネジメントシステム)やQMS(品質マネジメントシステム)、PMS(個人情報保護マネジメントシステム)等でも基盤となっています。 先述しましたように、リスク対応を中心となって支える活動の一つに「リスクの対策を決定する」があります。この対策には選択肢があり、一般的には、「リスク回避」「リスク軽減(低減)」「リスク移転」「リスク保有」の4つに分類されます。企業
KRIは、Key Risk Indicatorの略であり、 重要リスク指標とも呼ばれます。KRIは、リスクの顕在化(または、そうなりそうな状況)をいち早く察知し、被害の発生や影響をできる限り抑えることを狙いとして設定するモニタリング指標です。組織の将来に悪影響をもたらす可能性を示唆するものであり、リスク顕在化と大きな因果関係を持つものです。世間一般的には良く、「予兆」「前触れ」と表現されることもあります。 噴火のリスクを例にとってみましょう。噴火の予兆や前触れを示唆するものが、言わばKRI候補です。具体的には何でしょうか。因果関係が実証されていないものもあるでしょうが、KRIになりうるものとしては、たとえば火口の隆起や、震源の浅い火山性地震を挙げることができるでしょう。では、外部からハッキングを受ける不正アクセスリスクの場合はどうでしょうか。KRIになりうるものとしては、たとえばファイアウ
“リスクに基づく考え方(Risk-based thinking)”とは、「リスクを起点に効果的・効率的に目的・目標達成を図るアプローチ」のことです。ここでリスクとは、目的・目標達成を阻害または促進する可能性のある要因全てを指します。すなわち、「リスクを起点に効果的・効率的に目的・目標達成を図るアプローチ」とは、「目的や目標の達成を危うく、または、促進する要因を洗い出し、それらの影響を明確にし、必要な対策を考えることで、目的・目標達成の確度向上を狙うアプローチ」を意味します(以後、「リスクベースアプローチ」と呼称)。 以下に具体例を挙げます。 ・約束した納期の厳守を脅かす要因・発生可能性・影響を洗い出し、そのリスクの大きさを考慮し対策を検討すること ・機密情報保護に関する脆弱性や脅威・発生可能性・影響を検討し、そのリスクの大きさを考慮し予防対策を考えること ・製品需要が生産能力を大幅に上回る
VaRとは、"Value at Risk(バリュー・アット・リスク)"の略であり、日本語では「(経営が許容しうる)予想最大損失額」と訳されます。元は、金融機関が保有している資産のリスクを評価するために考案されたものです。今現在持っている資産を、今後も一定期間保有(保有期間)し続けたとして、株価や金利などの変動(リスクファクター)にさらされることで、ある一定の確率の範囲内(信頼水準)で、どれくらい損失を被る可能性があるかを、過去のデータを基に統計的に計測する手法です。なお、「過去のデータ」とは、過去の一定期間(観測期間)に遡って、その間に起きた価格推移のことを指します。 例をとって説明します。たとえば今現在あなたが100万円という資産を持っていたとします。このとき「この100万円という資産を、今後5年間保有し続けたとして、株価や金利変動によって失う可能性のある最大金額はいくらか?」といった問
水害や土砂災害、高潮、大津波などの自然災害が発生したとき、あるいは発生のおそれがあるときに市町村長から発令されるのが、「避難指示」「高齢者等避難」「緊急安全確保」です。 以前は、「避難勧告」「避難指示(緊急)」「避難準備情報」と言われていましたが、近年頻発している大規模な災害を受けて、避難を開始する必要性を明確にするために名称が変更されました。なお、「避難命令」という言葉を聞いたことがあるかもしれませんが、法律的には「避難命令」という言葉はありません。 これらの用語の違いを理解していないと、いざというときに間違った行動をとってしまうかもしれません。また、用語の違いをあらかじめ理解しておくことが、自らの身の安全を守ることになりますから、避難に関する用語を正しく理解しておくことは大事です。 「避難勧告」は、安全な場所への立退きを求め、早めの避難を促すために発令されてきましたが、2021年の災害
イベント管理とは、全てのITインフラから発生するイベントを監視し、運用が通常通りに行われていることを確認、そして異常なイベントが検知された際にはインシデント管理などの他管理プロセスへエスカレーションをすることです。 ここでのイベントとは、モニタリングに使用する監視ツールなどから通知されるITサービスに影響ある事象、システムの状態変化に関する通知のことです。例えば、ログインに失敗した際のログやエンドユーザ毎のウェブアクセス先のリアルタイムログ通報と言ったものが挙げられます。あらかじめ設定されたサーバのメモリー使用率の閾値に近づいていることを知らせるための通知もイベントに該当します。 このようにイベントは必ずしもITサービスに悪影響を与えるものだけではなく、設定によって、指示していた作業が完了した時など、システムの状態に変化が起きたとして認識されます。 イベント管理は以下の3つを目的としていま
資産管理はその主眼を資産価値の管理に置いています。例えば管理対象となる機材に固有の資産番号を振ることで、経理上の処理(原価償却など)を支援するようなケースがこれに該当します。それに対し、構成管理ではサービスの最適化を支援することに主眼を置いており、機器やアプリケーションがどのような構成で成り立っているかを正確且つタイムリーに提供することを目的としています。 管理手法も大きく異なり、構成管理での管理単位は構成アイテム(CI:Configuration Item)と呼ばれます。 このCIは資産管理のように常に1対1の関係ではなく、1対他の関係になることも珍しくありません。よく例えに挙がるのはモニターとデスクトップPCの関係です。 資産管理であれば、モニターとデスクトップPCは別々の資産として管理されます。ですが構成管理では、例えば社内で「モニターとデスクトップPCは常にセットで購入し4年ごとに
IT運用管理に関連した資格取得を目指す場合、最もポピュラーなものとして「ITIL認定試験」があります。この試験はイギリス商務局(OGC:Office of Government Commerce)により実施され、日本を含む世界中で認知されています。国内のITIL認定試験は、ISEBとEXINの2団体が試験問題を作成・認定・主催し、どちらの団体の試験もPCを利用したオンラインの試験会場を運営する企業(プロメトリック)にて受験可能です。 ・ISEB(Information Systems Examinations Board) (英国) ・EXIN(Examination Institute for Information Science) (オランダ) ITIL認定試験の主流はこれまでのITIL Version 2からVersion 3に移行しており、V2の試験は段階的に終了しています。 I
NIST (National Institute of Standards and Technology:米国標準技術局) が、2011年2月3日にパブリッククラウドに関するガイドラインのドラフト版を公表しました。 これは連邦政府のCIOの要請により、NISTが一定のセキュリティを保ちつつ政府機関がクラウドコンピューティングを利用する手法をガイドラインとしてまとめたものです。 あくまで政府機関がクラウドコンピューティングを利用することを想定して書かれていますが、主語をそのまま企業に置き換えても十分利用可能な内容となっており、現在は2月末を目処にパブリックコメントを募っている状況です。 今回このガイドラインの公開に併せて、クラウドコンピューティングの定義を示した文書もドラフト版としてアップデートされています。こちらのアップデートは急速に変化するクラウド環境を反映し改訂はすでに16版を数えます
ITIL(Information Technology Infrastructure Library)は、ITサービスマネジメントのベストプラクティス集で、ITサービスを提供するためのガイドラインとして作成されました。 ITILプロセスの認証規格に関しては、2000年にBSI(英国規格協会)がBS15000を規格化しました。この認証規格では、組織がITILプロセスを適用し、マネジメントシステムを通じて適切に運用されていることが要求されています。 その後、国際標準規格としてISO(国際標準化機構)はBS15000を基にしたISO20000(Part1,Part2)を策定しました。 Part1は認証規格であり、認証審査では、組織がこの規格が求める要求事項(※1)に適合しているかどうかを確認します。Part2は、Part1に記されたITサービスマネジメントプロセスについての実践規範として、手引き
近年急速に情報が集まり、分析が進展し、理論的な解明がすすんでいる確率分布のひとつに「ベキ分布」があります。 従来はリスクについて考える際は、損害規模や発生確率は正規分布的に平均を考え、分散を考え、どの程度かと想定していました。しかし、地震や山火事や、株価の大暴落の災害や異常現象は、何らかの平均があり、それからの乖離を計る分散を見ることで予測できるものではないのではないか、という議論が出てきます。 その後の研究により、自然現象では地震の大きさと発生頻度、山火事の被害面積ごとの発生頻度など、経済現象では株価、為替などの市場価格の変動、社会現象では戦争の発生頻度と戦死者数などは正規分布とは明らかに異なる形、即ちベキ分布に従っていることが分かってきました。 まずは正規分布について説明します。 いわゆる確率的な分布と言われたら、ほとんどの人は右図のような釣鐘型の正規分布を思い浮かべることでしょう。正
BCMとは、事業継続マネジメント(Business Continuity Management)の略称です。企業が危機に直面した際、速やかに事業を継続・復旧させるために、計画の策定・導入・運用・見直しといった継続的な改善を行い維持・管理をするための仕組みです。「自然災害(地震・風水害・噴火)」「火災」「サイバー攻撃」「戦争・テロ」などの危機から会社の重要資産(とくに人命)を守り、事業継続を行うための計画が事業継続計画(BCP:Business Continuity Plan)です。 東日本大震災や激甚化する自然災害の頻発、地政学リスクの高まり等により企業におけるBCPの重要性は日ごとに増しています。企業が日頃から何らかの対策を取っていたとしても、危機への遭遇を100%回避することは不可能です。 だからこそ、事故防止や災害の回避だけを考えるのではなく、危機の発生により不幸にも自社の重要な経営
IT-BCPの世界では、プライマリリソース(本番用として稼働しているITシステムのこと。たとえば本番用サーバや、それらを設置している情報処理施設など)からバックアップリソース(予備のITシステムのこと。たとえば代替機やDRサイトなど。)への切り替えについて、その際の切り替え速度の観点から(速い順に)”ホット”、”ウォーム”、”コールド”という3種類の言葉が使われます。 なお仮に、プライマリリソースをメインの車、バックアップリソースを予備の車にたとえるならば、「ホット」とは、バックアップリソース(予備の車)のエンジンをかけっぱなしにして待機させてある状態のことで、プライマリリソース(メインの車)に何か問題が発生しても、すぐに予備の車に乗り換えられるような準備がなされている形態を指します。 逆に、「コールド」とは、予備の車を用意しておくものの、エンジンはオフ、車の鍵もエンジンに差し込まない状態
BIA(事業インパクト分析)とは、組織にとって重要な事業(製品及びサービスの提供)について、以下を明らかにする目的で実施する分析を指します。 ・業務の中断による事業への影響 ・業務の継続(復旧)優先順位 ・業務の目標復旧時間(または復旧レベル) ・業務に必要なリソース(経営資源:人・サイト・技術・情報・供給) それでは、以下に詳細の手順をご紹介します。 事業を支える業務の洗い出し(業務、その概要、主管部署など) 業務が中断することによる影響の特定(定量的または定性的に特定) 業務復旧優先度の決定 目標復旧時間(RTO)・目標復旧レベル(RLO)の設定 各業務に必要なリソースの特定(人であれば「どのような力量を持った要員を何名」など) 1.事業を支える業務の洗い出し 経験則から重要な事業を支える業務は何か、ある程度あたりをつけることは可能です。しかし、重要な業務の抜け・漏れを防ぐために、また
ガルとは、加速度(単位時間あたりの速度の変化率)の単位であり、人間や建物に瞬間的にかかる力(揺れ)、を意味します。 1ガルとは、1秒間に1センチメートルの割合でスピードが増していく状態を指します。 ちなみに、人が体感できる最小の加速度(揺れ)は、0.6ガル程度※と言われています。また、地球の重力の加速度(物体が重力に引かれて地面に向かって落ちるときのスピードの変化率)は、980ガル程度です。 【そのほかガルの大きさの例】 関東大震災 ・・・ 330ガル 新幹線N700系電車 ・・・ 722ガル ニュージーランド地震 ・・・ 940ガル エレベータ(法定上の上限) ・・・ 980ガル 戦闘機パイロットの負荷 ・・・ 8,820ガル F1カーのクラッシュ ・・・ 22,540ガル ※ 周期1秒という前提条件です 地震が発生した際、その大きさを表す単位として、ガルのほかに、マグニチュードや震度※
今、レジリエンスという言葉への注目が集まっています。レジリエンスは直訳すると「しなやかさ」であり 、企業の文脈では「ダメージを受けるような事態における回復力」を意味します。未然防止だけではコント ロールしきれないリスクに取り囲まれた企業の現状を表しているかのようです。 今、注目度が高まるレジリエンス BCPの国際的な規格でありISOマネジメントシステムであるISO22301でも、その名に「セキュリティ及びレジリエンス」を冠しています。最近、注目度が高まりつつあるエマージングリスク(新興リスク)のマネジメントにおいても、レジリエンスという言葉が重要な活動要素として登場します。コーポレートガバナンスの国際的な教科書的存在であるOECDコーポレートガバナンス原則でも、レジリエンスという章が1つまるまる追加されました。金融機関でもオペレーショナル・レジリエンスという言葉がにわかに台頭しています。
インシデント管理とは、ITサービスの利用者(顧客)が”何らかの理由により”業務を遂行できない状態を、いかに早く解決し、業務を続けられるようにするかを支援するIT運用管理プロセスです。この際の”何らかの理由”が、インシデントにあたりますが、一般的には対応方法が手順化されているかどうかによって、大きく以下に示す2つに分類することができます。※1 1.障害回復要求 (例:データ閲覧不可、ログインエラーに関する問い合わせ等) 2.サービス要求 (例:情報の開示要求、登録情報変更依頼、パスワード再発行依頼等) ちなみに「2. サービス要求」にのみに関わるプロセスを特に「サービスリクエスト管理」と呼ぶ場合があります。 ※1. インシデントの定義にサービス要求を含めるかどうかについては、規格やガイドライン、専門家によって異なる場合があります。 【ITIL ver3における定義】 「予定していないITサー
リスク管理Naviは、現在急速に注目度の高まっているリスクマネジメント(Risk Management)に関しての情報を集めた情報サイトです。 リスクマネジメントの考え方やノウハウ、日々のニュースの中のリスクマネジメントの話題などを網羅的に収集、提供します。コンテンツは随時更新しております。 各情報は右メニューからご覧ください。多角的にリスクマネジメントへの理解を高めて頂ければ幸いです。 ご意見・ご要望は お問い合わせページ よりお寄せ下さい。 2024.08.07 「国土強靱化年次計画 2024」を決定 政府 2024.08.07 帰宅開始場面における新たな混乱の発生防止へ、「大規模地震発生に伴う帰宅困難者等対策のガイドライン」を改定 内閣府 2024.08.06 DACCS/BECCS 2024.07.29 生体認証に関する精度評価方法の国際規格「ISO/IEC 5152」が発行、従来
サイバー/デジタルリスク Naviは、サイバーセキュリティとデジタルトランスフォーメーション(DX)に関する情報を集めたサイトです。 サイバーセキュリティやDXの最新情報を収集、提供しているほか、注目したい話題や用語、ガイドラインについて随時解説しております。 各情報は左メニューからご覧ください。セキュリティ対策のための情報収集にお役立ていただければ幸いです。 ご意見・ご要望は お問い合わせページ よりお寄せ下さい。 2024.08.08 システムのブラックボックス化を懸念、「重要情報を扱うシステムの要求策定ガイド」活用の手引き(別冊)を公開 IPA 2024.08.02 偽・誤情報などデジタル空間における情報流通の課題解決に向けて検討会がとりまとめ案を公表、意見公募も実施 総務省 2024.08.02 AIマネジメントシステム(AIMS)の国際規格「ISO/IEC42001」についても調
2024.04.25 AI事業者ガイドライン(第1.0版) 2024.02.02 Good Practice Guideline Edition 7(GPG7) 2024.01.19 事業継続ガイドライン(内閣府) 2023.12.07 ISO/TS31050 リスクマネジメント- レジリエンスを強化するためのエマージングリスクマネジメントのガイドライン 2023.12.04 欧州AI法案 2023.03.28 民間企業の方のための気候変動適応ガイド 2022.10.14 事業活動およびサプライチェーンにおける強制労働のリスクに対処するためのEU企業のデュー・ディリジェンスに関するガイダンス 2021.11.18 ISO31030:2021 - 旅行リスク管理 - 組織向けのガイダンス 2021.11.15 テレワークの適切な導入及び実施の推進のためのガイドライン 2021.10.06 人
RLO(目標復旧レベル)とは、何らかの理由で業務が中断することにより落ち込んでしまった操業水準を、決められた時間内(目標復旧時間:RTO)に、どの程度(操業水準)まで復旧させるかといったときの「どの程度(操業水準)」のことを指します。 なお、ここで言う「何らかの理由」とは、地震や火災、落雷または物理的な機械故障によるシステム障害など、組織がその発生を予期しづらく、また、有効な防止策を打ちづらい大きな事故・災害を指します。 ちなみに、RTO(目標復旧時間)の単位が「時間」(秒・分・時間・週間・ヶ月・年)であるのに対し、RLO(目標復旧レベル)の単位は、「処理能力レベル」や「品質レベル」など想定する業務によって多種多様です。 RLO(目標復旧レベル)は、(RTO:目標復旧時間)とセットで決定する必要があります。以下にRLOを決定する例を挙げます。 例 1) 河川の氾濫によるサーバルームの浸水で
ERMとは、エンタープライズ・リスクマネジメント(Enterprise Risk Management: 全社的リスクマネジメント)の略称であり、その名の通り、リスクマネジメント活動に関する全社的な仕組みやプロセスのことを指します。より具体的に言えば、「組織の目的・目標達成の確度を上げるために、リスクマネジメントを全組織的・体系的・効果的・効率的・継続的にまわすこと、その能力、またはその仕組み」とも言えます。なお、リスクとは「将来、組織が直面するかもしれないピンチやチャンスのこと」であり、リスクマネジメントとは「リスクを洗い出し、絞り込み、対応優先度を決め、リスク対応を行い、適宜見直しを行う一連の活動」を指します。 組織は、日々、様々なリスクに取り囲まれています。たとえば、地震のような自然災害や、サイバーテロなど、自組織が望む・望まないにかかわらず襲いかかってくるリスク。あるいは、機密情報
ご存じの通り、事業継続管理の国際的な規格と言えば今やBS25999が有名です。しかしながら「事業継続管理」というテーマについては、既にISO27001やISO20000でも触れられてきたテーマです。中でもISO27001は数多くの企業によって認証取得※1がされており、BS25999との差異が特に気になるところです。そこで今回はISO27001とBS25999の違いについて改めて検証してみました。 まず、ISO27001は情報セキュリティマネジメントシステムの国際規格です。当規格は、重要な情報資産※2のセキュリティ(機密性・完全性・可用性※3)が脅かされることで組織が著しい損害を被らないようにするため、適切な対応の仕方・考え方についてそのルールを示したものです。この規格では、適用の対象となる組織が導入を検討しなければいけないセキュリティルールとして11のドメイン(カテゴリ)からなる計133個
クラウドコンピューティングとは、一言で述べると「雲の向う側の世界の(インターネットの向う側にある)巨大な情報処理施設を利用(・提供)する技術の総称」です。クラウドコンピューティングは、大きく3種類に分類できます。 ・SaaS(サース):ソフトウェアサービスを提供するサービス ・PaaS(パース):プラットフォームを提供するサービス ・IaaS(イアース):インフラストラクチャを提供するサービス ソフトウェアを提供するサービス(SaaS) 具体例としては、Google社が提供するメールシステム(Google Apps Mail)や、セールスフォース社が提供する顧客管理システム(CRM:営業活動を支援する機能などを持つ)などがあります。これにより、自社でわざわざサーバ施設を用意し、必要機材を調達し、OSやメールソフトなどをインストールするという面倒を踏まずとも、即日から高い機能を持つソフトウェ
「新時代のグループリスクマネジメントの要諦 ~パッチワーク的なERM活動を実効的にする手法~」日経オンラインセミナー・グローバルリスクマネジメント2024 ~変わりゆく世界情勢、企業に必要なレジリエンス経営とは~(オンライン・無料・事前登録制)2024年7月11日(木) オンラインセミナー「日経オンラインセミナー・グローバルリスクマネジメント2024 ~変わりゆく世界情勢、企業に必要なレジリエンス経営とは~」(2024年7月11日開催、日本経済新聞社主催)において、弊社ERM/BCP事業部第1カンパニー長・エグゼクティブコンサルタントの坂口 貴紀が登壇いたします。 「新時代のグループリスクマネジメントの要諦 ~パッチワーク的なERM活動を実効的にする手法~」と題して14時15分から講演します(14:15~14:35)。ERMを機能する活動に転換するために今、何をなすべきか。様々な組織のリス
このページを最初にブックマークしてみませんか?
『ニュートン・コンサルティング株式会社』の新着エントリーを見る
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く