技術評論社サイトのロゴ

CISOハンドブック ―⁠―業務執行のための情報セキュリティ実践ガイド

著者
高橋正和，荒木粧子，池上美千代，岡田良太郎，唐沢勇輔，北澤麻理子，武田一城，橘喜胤，田中朗，西尾秀一，深谷貴宣，JNSA CISO支援ワーキンググループ　著
定価
3,740円（本体3,400円＋税10%）
発売日
2021.1.20 2021.1.18
判型
B5変形
頁数
400ページ
ISBN
978-4-297-11835-8 978-4-297-11836-5

サポート情報

概要

企業はDX（デジタルトランスフォーメーション）によって変化しなければならない，しかしIT化すればするほど情報セキュリティの問題が発生！　業者に頼めばいいのか……，いや継続的に情報セキュリティの問題は起きてしまうだろう……。そう，企業がIT化を進めDXを促進すると，情報セキュリティが生命線になることは避けられないのが本当のところです。そこで欧米では技術職の視点をもった経営陣の一人としてCISO（Chief Information Security Officer）の役職が誕生しました。情報セキュリティ問題に悩むあらゆる企業の担当者の皆さんのために，本書はCISOがすべき情報セキュリティの問題解決方法を最新の情報をもとにまとめあげました。

補足情報

日本ネットワークセキュリティ協会の
Webページ（https://www.jnsa.org/）で最新の情報を発信しています。
JNSA（日本ネットワークセキュリティ協会）では，本書でも取り上げている，「情報セキュリティインシデントに関する調査報告書」，「情報セキュリティインシデントに関する調査報告書」をはじめとして，実践に即した数多くの資料を公開しています。また，イベントなどを通じて，情報セキュリティ対策が広く進展することに貢献に努めています。
ぜひ，資料をご参照いただき，JNSAの活動にも参加ください。

こんな方にオススメ

  • 情報セキュリティ担当者，セキュリティエンジニア，CTO，CIO，CISO，情報システム部担当者など

目次

第1章　情報セキュリティの目的 1

  • 1-1 CISOの役割とは何か
  • 1-2 ビジネスリスクと情報セキュリティ
  • 1-3 情報セキュリティリスクにかかわる3つの立場（3線モデル：Three Lines of Defense Model）

第2章　情報セキュリティマネジメントの基礎知識

  • 2-1 情報セキュリティマネジメントの基礎知識
    • 2-1-1 リスクマネジメント
    • 2-1-2 ISO31000リスクマネジメント
    • 2-1-3 統計的手法に基づいたリスクの定量化
    • 2-1-4 EDC によるリスクの定量化
    • 2-1-5 リスクマネジメントを実施するにあたって
  • 2-2 情報セキュリティ計画実施モデル
    • 2-2-1 情報セキュリティ計画策定のケーススタディ：CISコントロールズの実装
    • 2-2-2 CIS コントロールズから始める情報セキュリティ対策
    • 2-2-3 侵害を前提としたセキュリティ計画：サイバーセキュリティフレームワーク
  • 2-3 経営サイクルと情報セキュリティマネジメントサイクル
  • 2-4 マネジメントサイクルに沿った報告
    • 2-4-1 年間計画に基づいたPDCA的な報告
    • 2-4-2 緊急対応に関するOODA的な報告
    • 2-4-3 情報セキュリティと法令順守
    • 2-4-4 監査による執行状況の評価
    • 2-4-5 情報セキュリティとコーポレートガバナンス

第3章　基本となる経営指標

  • 3-1 CISOのための財務諸表の読み方
  • 3-2 経営における「数字」の重要性
  • 3-3 財務会計49
  • 3-4 貸借対照表の見方
  • 3-5 短期的な支払い能力の評価
  • 3-6 長期的な支払い能力の評価
  • 3-7 財務の健全性の評価
  • 3-8 管理会計
    • 3-8-1 計画する：損益分岐点
    • 3-8-2 分割する：セグメントへの分割と評価
    • 3-8-3 評価する：規模や内容が異なる事業（セグメント）の評価
  • 3-9 財務健全性と投資収益性を比較する
  • 3-10 経営指標を現場に展開する（オムロン株式会社の例）
  • 3-11 ファイナンス
    • 3-11-1 原価主義と時価主義
  • 3-12 ファイナンスの基本的な考え方
  • 3-13 会社法と資本比率
    • 3-13-1 資本比率
    • 3-13-2 セキュリティ事故と株価

第4章　情報セキュリティの指標化

  • 4-1 情報セキュリティの指標化
  • 4-2 コストとしての情報セキュリティ
    • 4-2-1 セキュリティ事故の推定損害額
  • 4-3 情報セキュリティ指標を経営の数字に展開
    • 4-3-1 バランストスコアカードを使ったKPIの展開
    • 4-3-2 ケーススタディ：テレワークを題材としたバランストスコアカードの利用例
    • 4-3-3 経営における情報セキュリティの役割
    • 4-3-4 情報セキュリティに対する役割と責任

第5章　モニタリングと評価手法

  • 5-1 モニタリングに基づいた施策の評価
  • 5-2 組織情報のセキュリティ成熟度評価
    • 5-2-1 Cybersecurity Capability Maturity Model（C2M2）
    • 5-2-2 評価対象：機能（ファンクション）100
    • 5-2-3 評価ドメイン
    • 5-2-4 成熟度指標レベル
    • 5-2-5 成熟度評価で参照される規準および標準
  • 5-3 実装レベルのモニタリング
    • 5-3-1 インベントリの取得と維持
    • 5-3-2 脆弱性の把握と不正アクセス検知
  • 5-4 サイバー攻撃への対応能力評価
    • 5-4-1 攻撃者視点での評価：Red Teaming
    • 5-4-2 TLPTフレームワーク

第6章　情報セキュリティ監査

  • 6-1 情報セキュリティ監査の目的
    • 6-1-1 Cから始めるPDCA
  • 6-2 セキュリティ監査の分類と目的
    • 6-2-1 「助言型監査」と「保証型監査」
    • 6-2-2 ISMS 適合性評価制度とセキュリティ監査
    • 6-2-3 第三者によるセキュリティ監査結果の利用
  • 6-3 内部監査人の選択方法
  • 6-4 外部監査人の選択方法
  • 6-5 CISOは監査報告書を受け取ったら何をすれば良いか
    • 6-5-1 監査結果の確認とCISO の心得
    • 6-5-2 改善計画書の作成
    • 6-5-3 フォローアップの必要性

第7章　情報セキュリティアーキテクチャ

  • 7-1 アーキテクチャの重要性
  • 7-2 情報セキュリティアーキテクチャの基本要素
    • 7-2-1 IAAAに基づいたアクセスコントロール
    • 7-2-2 情報格付（データクラシフィケーション）
    • 7-2-3 権限管理
    • 7-2-4 物理的・ネットワーク的なアクセスコントロール
    • 7-2-5 統制基盤
    • 7-2-6 統合ログ管理
  • 7-3 エンタープライズセキュリティアーキテクチャ（ESA）
    • 7-3-1 Sherwood Applied Business Security Architecture（SABSA）
    • 7-3-2 SABSA を学ぶためのガイド
    • 7-3-3 COBIT
    • 7-3-4 The Open Group Architecture Framework（TOGAF）
    • 7-3-5 TOGAF を学ぶためのガイド
    • 7-3-6 Information Technology Infrastructure Library（ITIL）
  • 7-4 ゼロトラスト
  • 7-5 「トラストがゼロ」の背景
    • 7-5-1 技術革新
    • 7-5-2 利用形態の変化
    • 7-5-3 攻撃手法の変化
  • 7-6 ゼロトラストアーキテクチャ
    • 7-6-1 リソースのセグメント境界
    • 7-6-2 システムリソース
    • 7-6-3 アプリケーションリソース
    • 7-6-4 リソースに対する最小権限の維持
    • 7-6-5 アクセス要求元が使用するシステム
    • 7-6-6 アクセス要求元が使用するアプリケーション
    • 7-6-7 ゼロトラストの基本原則と前提
  • 7-7 ゼロトラストアーキテクチャの論理的構成要素
    • 7-7-1 PE（ポリシーエンジン）：指定されたリソースへのアクセス許可の最終的な判断を行う
    • 7-7-2 PA（ポリシーアドミニストレータ）：アクセス要求元とリソースの通信経路の確立・遮断を行う
    • 7-7-3 PEP（ポリシー実施ポイント）：アクセス要求元とリソースの接続を有効化，監視，終了を行う
    • 7-7-4 ゼロトラストアーキテクチャの要素
  • 7-8 ゼロトラストアーキテクチャで防げない攻撃
  • 7-9 継続的な技術動向の把握

第8章　DXと情報セキュリティ

  • 8-1 デジタルトランスフォーメーション（DX）の目的は事業変革
  • 8-2 DXとテクノロジー
  • 8-3 OODA，アジャイル，DevOpsのアプローチ
    • 8-3-1 OODA の適用
    • 8-3-2 アジャイルの適用
    • 8-3-3 DevOpsの適用
  • 8-4 DX のセキュリティ実現において，PDCAをどう使うか
  • 8-5 CISOはDXプロジェクトにいかにして貢献するか
    • 8-5-1 DXのボトルネックにならない
    • 8-5-2 DXの推進につながる働きかけをする
    • 8-5-3 リスクプロファイルによりセキュリティもDXする

第9章　クラウドファーストの情報セキュリティ

  • 9-1 クラウドファーストへの転換
  • 9-2 クラウドサービスの主要なモデルと責任分界点
  • 9-3 クラウドサービス選定時の考慮点
    • 9-3-1 情報の格付けおよび取扱制限（クラシフィケーション）
    • 9-3-2 法令・基準への対応状況を確認する
    • 9-3-3 サービス契約と準拠法・裁判管轄
    • 9-3-4 クラウドサービスの中断や終了時
    • 9-3-5 情報流通経路全般のセキュリティ
    • 9-3-6 外部認証，認定を利用した効率的な情報セキュリティ対策実施状況の把握
    • 9-3-7 クラウドサービスプロバイダーのコンプライアンス対応：Microsoft社の例
  • 9-4 実践的な情報セキュリティ評価
    • 9-4-1 European Union Agency for Network and Information Security（ENISA）Cloud Security
    • Guide for SMEs
    • 9-4-2 クラウドサービスの評価：調査サービスの利用
  • 9-5 セキュリティの主要な評価要素
    • 9-5-1 ガバナンスとリスクマネジメント
    • 9-5-2 アーキテクチャ
    • 9-5-3 データセンターセキュリティ
    • 9-5-4 事業継続と可用性
    • 9-5-5 サプライチェーンの管理，透明性，説明責任195
    • 9-5-6 人的セキュリティ
    • 9-5-7 アイデンティティとアクセス管理
    • 9-5-8 顧客データの取り扱い
    • 9-5-9 アプリケーションセキュリティ
    • 9-5-10 暗号化
    • 9-5-11 ロギング，モニタリング
    • 9-5-12 データ連携
    • 9-5-13 変更管理と構成管理
    • 9-5-14 インシデント管理
    • 9-5-15 脆弱性管理
    • 9-5-16 モバイルセキュリティ
  • 9-6 クラウドサービスをセキュアに利用するために
    • 9-6-1 管理機構の利用
    • 9-6-2 クラウド間連携とAPI の課題

第10章　情報セキュリティインシデント対応と報告

  • 10-1 情報セキュリティインシデントとCSIRTの設置
  • 10-2 セキュリティインシデントの推移
    • 10-2-1 内部の過失による物理的な保護の破綻
    • 10-2-2 内部の過失によるネットワーク的な保護の破綻
    • 10-2-3 内部からの攻撃
    • 10-2-4 外部からの持続的な攻撃（APT）
    • 10-2-5 内部によるシステム的・ネットワーク的な保護の欠如：オンラインストレージ
    • 10-2-6 内部によるシステム的な保護の欠如：Webサービスのプラットフォーム
    • 10-2-7 外部からの攻撃：リスト型攻撃
    • 10-2-8 外部からの攻撃：DDoS事件
    • 10-2-9 外部からの攻撃：ランサムウェア
    • 10-2-10 外部からの攻撃：ビジネスメール詐欺
    • 10-2-11 外部からの攻撃：DNS の乗っ取り
    • 10-2-12 サプライチェーンの問題：廃棄ハードディスクの転売事件
  • 10-3 新しい領域のインシデント
    • 10-3-1 IoT セキュリティ
    • 10-3-2 自動車のセキュリティ
    • 10-3-3 WannaCry：攻撃者の変化（国家機関の関与）
    • 10-3-4 キャッシュレス決済の不正な引き落とし
    • 10-3-5 暗号資産に対する攻撃
    • 10-3-6 AIセキュリティ
    • 10-3-7 SNSを基点とした炎上255
    • 10-3-8 SNSアカウントの乗っ取り
  • 10-4 脆弱性評価
    • 10-4-1 脆弱性の深刻度評価（CVSS）
    • 10-4-2 脅威ハンティング（Threat Hunting）
    • 10-4-3 製品やサービスベンダーのセキュリティ対応能力
    • 10-4-4 脅威インテリジェンスの利用
    • 10-4-5 リスクの転移
    • 10-4-6 地政学リスク
    • 10-4-7 報告されない脆弱性
  • 10-5 CTFとインシデント対応演習
  • 10-6 インシデントを想定したセキュリティ施策の評価

第11章　製品選定とベンダー選定

  • 11-1 ベンダーとの対応方法
  • 11-2 セキュリティソリューション検討時の留意点
  • 11-3 ベンダー選定時の留意点
    • 11-3-1 製品・サービスの開発元
    • 11-3-2 販売会社・販売代理店
    • 11-3-3 システムインテグレータ
  • 11-4 ライフサイクルにおけるベンダー評価

第12章　CISOの責務と仕事

  • 12-1 CISOの役割
  • 12-2 サイバーセキュリティ経営ガイドライン
  • 12-3 米国におけるCISO 像：CISO COMPASSのCISO像
    • 12-3-1 CISO の歴史

第13章　経営陣としてのCISOへの期待

  • 13-1 CISOの役割と連携
    • 13-1-1 コミュニケーションにおける注意事項
  • 13-2 経営会議での報告
  • 13-3 役職などの名称について
  • 13-4 財務会計部門との連携（CFO）
  • 13-5 業務部門との連携（COO）
  • 13-6 IT部門との連携（CIO）
  • 13-7 リスク管理部門との連携（CRO）
  • 13-8 総務・人事部門との連携
  • 13-9 法務部門との連携
  • 13-10 監査部門との連携
  • 13-11 広報部門との連携
  • 13-12 社外との連携
  • 13-13 執行責任者としてのCISO

Annex

  • Annex A 事業計画策定例
    • A-1 事業計画の位置付け
    • A-2 資格制度を導入した場合の試算（サブスクリプション）
    • A-3 事業計画1-4の評価
  • Annex B CISOダッシュボード
    • B-1 CISOダッシュボード
    • B-2 情報セキュリティ事故の説明責任
  • Annex C 情報セキュリティ対策の標準化と自動化の流れ
  • Annex D EDC 手法を使ったセキュリティ対策効果の試算
    • D-1 EDC 手法の導入
    • D-2 EDC 手法による対策案の最適解算出手順
    • D-3 対策リストの策定
  • Annex E Need to Know 再考
    • E-1 すべての会話と知識を検索可能にする
  • Annex F 新型コロナウイルス後のセキュリティ
    • F-1 業務形態の変化とCISO に求められる役割
    • F-2 セキュリティ対策
    • F-3 情報格付けと情報の取り扱い
    • F-4 規定とセキュリティポリシー
    • F-5 企業活動の基盤としてのコミュニケーション
    • F-6 成果の定義と評価
    • F-7 企業文化と教育
  • Annex G セキュリティインシデントの推移
    • G-1 サイバー攻撃の変化と潮流
    • G-2 マルウェアの誕生（1990年代以前）
    • G-3 インターネットワーム（モリスワーム）
    • G-4 Mellisa とメール型ウイルス
    • G-5 現実化したDDoS攻撃（2000年前後）
    • G-6 日本における省庁Web改ざん（日本のネットワークセキュリティの起点）
    • G-7 CodeRedに始まるワーム事件
    • G-8 ボットネットとサイバー犯罪
    • G-9 標的型攻撃
    • G-10 ランサムウェア
    • G-11 ビジネスメール詐欺（BEC）
    • G-12 攻撃の背景にあるエコシステム（アンダーグラウンドフォーラム）
    • G-13 脆弱性報告に対する報償プログラム
    • G-14 情報セキュリティ早期警戒パートナーシップ
    • G-15 まとめ
  • Annex H 情報格付け
    • H-1 情報格付け統一基準
    • H-2 日本政府における格付け
    • H-3 英国政府における格付け
    • H-4 日英の違いとそのポイント