ITリスクへ対応しなければならない、そんな時に具体的にどうすればいいのか、そもそもITリスクとはどういったものがあるのか。
ITリスク管理を実施しようとしても、良いやり方がわからない。フレームワークや指針、一般的な対応方法を知りたい。
この記事ではITリスク管理の方法を解説しつつ、そのような疑問や悩みにお答えします。
この記事を通じて、ITリスク管理の重要性を理解し、自社の内部統制やコンプライアンス体制の強化に向けた具体的なステップを学ぶことができるでしょう。
ぜひ最後までお読みいただき、ITリスク管理の理解と活用に役立ててください。
ITリスク管理とは、重要性と内部統制との関係
ITリスク管理は、「企業がITを使う際に起こりうる問題を事前に見つけ出し、対策を立てる取り組み」です。
必要だと言われますが、なぜITリスク管理が企業に必要なのでしょうか。
ITリスク管理の重要性
現代の企業活動ではITの利用が中心になっており、その利用は拡大しています。
そして、ITの利用が拡大するにつれて企業は以下のような対応をしなければならない事がでてきました。
- セキュリティ脅威の増加：サイバー攻撃が進化し複雑化している
- 規制遵守の要求：法律や規制を遵守し、ペナルティを避ける
- ビジネスの連続性の確保：災害やシステム障害からビジネスを保護し、継続的に活動する
- 財務的損失の防止：直接的および間接的な費用の発生を軽減する
- 技術の急速な進化と複雑化：新技術の安全な利用を確保する
- ステークホルダーの期待の管理：ステークホルダーの安全性と信頼性への期待に応える
このような対応のためにITのリスク管理を行うことが重要になります。
内部統制・IT統制との関連性
企業のリスク管理のために内部統制・IT統制を構築し運用しています。この内部統制・IT統制とITリスク管理はどのように違うのか解説します。
具体的には以下の違いがあります。
| 概念 | 定義 | 焦点 | 目的 |
| ITリスク管理 | ITに関連するリスクを識別、評価、監視し、制御するプロセス | ITリスク全般 | リスクを最小限に抑え、情報資産を保護 |
| 内部統制 | 組織の目標達成を支援する全体的なプロセス | 全ての組織的リスク(財務、運用、法的リスク等 | リスク管理と組織のガバナンスの強化 |
| IT統制 | 情報技術が信頼性のある情報を提供することを保証するための統制 | 情報システムの整合性、機密性、可用性 | ITリソースの適切な仕様とデータの正確性の保証 |
ITリスク管理は情報資産の保護・ITリスク全般を目的・対象としています。
内部統制・IT統制は企業の業務やガバナンスのため、あるいは企業の持つ情報資産を利用可能な状態に保つことを目的・対象としているという違いがあります。
ただし、それぞれが独立・縦割りで運用するのではなく、連携した運用とすることで目的をより効果的に達成していくものです。
ITリスクの種類と影響
企業が考慮すべき主なリスクは以下の4つがあげられます。
- サイバーセキュリティリスク
- データ損失・漏洩リスク
- システム障害リスク
- コンプライアンスリスク
それぞれ解説します。
サイバーセキュリティリスク
サイバーセキュリティリスクは、外部からの攻撃者によって情報システムが脅かされるリスクです。
外部からの攻撃にはハッキング、マルウェアの感染、フィッシング攻撃などがあります。
これにより、機密データが不正にアクセスされたり、システムが損傷を受け機能しなくなるなどの損害をうける可能性があります。
サイバーセキュリティリスクに対処するために、適切なセキュリティ対策を実施しなければなりません。
データ損失・漏洩リスク
人為的ミス、システムの故障、サイバー攻撃などにより重要なデータが失われたり、外部に漏洩するリスクをいいます。
このリスクにより、企業の評判が損なわれたり、顧客の信頼が失われたりすることでビジネスチャンスを損ねることになるでしょう。
データのバックアップや暗号化によりリスクを軽減するのが基本的な対策です。
システム障害リスク
ハードディスクの故障、ソフトウェアのバグ、自然災害などによって企業の重要なITシステムが停止するリスクをいいます。
システムがダウンすると業務が中断され、生産性の低下や取引機会の喪失につながる可能性があります。
システムメンテナンスによる不具合の予防と、効果的な復旧計画の策定が対策として重要です。
コンプライアンスリスク
企業の情報関連の法規制や業界基準に違反することにより生じるリスクをいいます。
例えばGDPRやPCI DSSのようなデータ保護規制に違反した場合、企業は重大な罰金や制裁を受ける可能性があります。
GDPR (General Data Protection Regulation):個人データの保護を目的としたEU法規
PCI DSS (Payment Card Industry Data Security Standard): クレジットカード情報の保護を目的とした国際的なセキュリティ標準
このリスクに対処するためには、規制の変更を継続的に監視し、遵守プログラムを適切に実施することが必要です。
ITリスク管理のフレームワーク
国際的なITリスク管理を強化するためのガイドラインやベストプラクティスをまとめたフレームワークの代表的なものに以下の3つがあります。
- COBIT（Control Objectives for Information and Related Technology）
- NIST（National Institute of Standards and Technology）サイバーセキュリティフレームワーク
- ISO/IEC 27001（情報セキュリティマネジメントシステム）
以下で解説します。
COBIT（Control Objectives for Information and Related Technology）
ITガバナンスに焦点を当てたフレームワークで、情報システムの監視、管理、及び制御をおこなうための詳細な指針が記載されています。
ITリソースを適切に管理し、リスクを軽減することを目的としています。
COBITはITガバナンスと管理のためのフレームワークとして、内部統制の設計、実施、監査に広く活用されています。
参照リンク：ISACA東京支部の基準委員会HP
NIST（National Institute of Standards and Technology）サイバーセキュリティフレームワーク
米国国立標準研究所（National Institute of Standards and Technology, NIST）が発行した、組織がサイバーセキュリティリスクを管理するためのポリシーと技術を整備することを支援するフレームワークです。
サイバーセキュリティリスクに対して、識別、保護、検出、対応、回復という主要な5つの機能によって組織がサイバーセキュリティの脅威に対応するためのガイダンスが記載されています。
規制に準拠し、サイバーセキュリティリスクに対応することが求められる公共機関および民間企業で広く採用されています。
参照リンク：IPA 独立行政法人 情報処理推進機構HP
ISO/IEC 27001（情報セキュリティマネジメントシステム）
ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）の確立、実施、運用、監視、維持、および改善に関する国際標準です。
この国際標準には、情報セキュリティリスクを組織として管理するためのフレームワークが記載されています。
リスク評価とリスク対応のアプローチに基づき、組織がセキュリティ対策を策定する際に役立つものです。
参照リンク：JQA 一般財団法人 日本品質保証機構HP
これらのフレームワークは、それぞれ異なるアプローチや特徴を持ちますが、組織がITリスクを効果的に管理し、情報資産を安全に守るための土台として広く認知されています。
また、国際的に認められているため、多くの業界でその適用が推奨されているものです。
ITリスク評価の4ステップ
一般的にITリスク評価は下記の4ステップでおこないます。
- リスクの特定
- リスクの分析
- リスクの評価
- リスク対応策の決定
これはリスクアセスメントと呼ばれます。
以下でそれぞれ解説します。
リスクの特定
まず、発生可能性のあるITリスクを列挙します。
明らかに無関係ではないリスクを除き、挙げられるだけあげるのが望ましいです。
リスクの分析
次に1.で特定したリスクを分析します。
分析は「発生可能性」と「発生した場合の影響度」の2つの基準で分析します。
例えば3段階、大中小で評価するといった感じです。
リスクの評価
リスクの危険度を最終的に決定します。
「2.リスクの分析」でリスク毎の「発生可能性」「発生した場合の影響度」の2つの評価をしましたが、これらをかけ合わせて、リスクの評価をします。
「発生可能性」「発生した場合の影響度」がそれぞれ「大」であれば掛け算の要領で、リスク評価は「大」と結論づけるといった具合です。
リスクマトリクスを使って下記のように分類します。
（リスクの大きさを極小 ＜ 小 ＜ 中 ＜ 大 ＜ 極大と5段階で記載しています）
| 影響度/発生可能性 | 小 | 中 | 大 |
| 大 | 大 | 極大 | 極大 |
| 中 | 中 | 中 | 大 |
| 小 | 極小 | 極小 | 小 |
発生した場合の影響度が大きいものは未然に防ぐべきものであるため、リスク評価を高くするという考え方をとります。
「発生可能性」が小、「影響度」が大のリスクを大としているのは、このためです。
4)リスク対応策の決定
リスク評価が終わったら対応策を講じていくことになります。
「リスク対応する優先順位の決定」をし、その後に「リスク対応を決定」します。
ここでは「リスク対応する優先順位の決定」と「リスク対応の方法4つ」を解説します。
①.リスク対応する優先順位の決定
対応する優先順位の決定には、「リスク評価結果」に加えて「対応のしやすさ」も含めて決定します。
対応のしやすさは例えば下記になります。
- 費用対効果
- 実現可能性
- 対応完了するまでにかかる時間
リスク評価が高ければ、費用が高くなることも受け入れ、実現可能である対策を選択するでしょう。そして、対応策がすぐに完了する方法を優先的に選ぶことになります。
逆に、リスクが高くないものは、費用対効果のバランスを考慮し、段階を踏んで時間をかけリスク対応を強化する方法を選ぶ考え方もできます。
②.リスクの対応方法4つ
リスクの対応方法は下記の4つから選びます。
- 回避（リスクを避ける）
- 適正化（リスクを減らす）
- 共有（リスクを分散する）
- 保有（リスクを受け入れる）
リスクを完全に封じ込め、発生可能性をゼロにするのが望ましいのでしょうが、実現可能性から考えると全てのリスクに対し対応するのは不可能でしょう。
このため上記の4つの対応方法から選んでいくのです。
それぞれ解説します。
- 回避（リスクを避ける）
リスクが発生する可能性のある活動や状況を完全に避けることです。
最も望ましい解決方法ですので、できるならば「回避」を優先的に選ぶのが良いでしょう。
例：海外出張をオンライン会議に変更し、移動中の事故リスクを回避する。
- 適正化（リスクを減らす）
リスクの発生可能性や影響を減らすための対策をとることです。
現実的にはこの「適正化」による対応が多くを占めるでしょう。全てのリスク評価で用いることができる方法です。
例：従業員にセキュリティ教育を実施し、情報漏洩のリスクを減らす。
- 共有（リスクを分散する）
リスクの一部または全部を他の組織や個人と分担することです。
この方法は、リスクを完全に除去できない場合や、組織単独で対処するには大きすぎるリスクに対して効果的です。
例：保険の加入、アウトソーシング、他社とのパートナーシップの締結。
- 保有（リスクを受け入れる）
リスクを受け入れることです。
リスクの影響が小さい場合、または対策コストが高すぎる場合に採用されます。
費用対効果に見合わなく、リスクの影響が小さいのであれば受け入れようというものです。
リスクの影響が小さいとは言わないものの、他の方法で検討して対策コストが高すぎる、現実的でない場合には、仕方なく「保有」を選ぶこともありえます。
例：新製品開発で迅速な市場投入を優先し、一部の機能を未実装とする。
ITリスク管理の実践的アプローチ
ここでは、前述した理論や概念を実際のビジネス環境でどのように適用するのかを具体的に解説します。
ITリスク管理の実践は以下の4つのアプローチを適用し、ITを安全に使うための総合的な計画を作り上げます。
- リスクアセスメントの定期的な実施
- インシデント対応計画の策定と訓練
- 全社的なセキュリティ意識の向上
- 外部リスクの管理
それぞれ解説します。
リスクアセスメントの定期的な実施
リスクアセスメントとは、「4. ITリスク評価の4ステップ」で解説した4ステップのことです。
- なぜ定期的なリスクアセスメントが重要か
ITリスク管理は実際にリスクがあらわれてから対処することではなく、あらかじめ備えることです。
定期的なリスクアセスメントの実施を行うことで、企業内外の変化に応じたリスクを適切に対応することができるようになります。
- 実施のタイミングと頻度
実施のタイミングは、「定期的な実施」と「重大なイベントがある場合に実施」する2通りがあります。
「重大なイベントがある場合に実施」とは、ITシステムの新規導入の場合や重大なITインシデントが発生した場合です。
定期的な実施は最低でも年1回、理想的には四半期ごとの年4回行うのがよいとされます。
頻度の決定は次の4つの考え方で決めるとよいでしょう。
- 組織の規模と複雑さ
- 業界の規制要件
- 技術環境の変化の速さ
- リソースの利用可能性
頻繁にリスクアセスメントを実施しても費用対効果は小さくなりますから、上記の4つの考え方を使い効果的な頻度で行うようにしましょう。
インシデント対応計画の策定と訓練
リスクを洗い出し、発生するであろうインシデントへの対応計画を策定するとともに、対応計画を実行できるようにするための訓練を実施します。
- インシデントへの対応計画の策定
インシデントが発生してから対応策を検討するのでは、被害が拡大してしまいます。
そのため、予測可能なインシデントには、対応計画を策定しておきましょう。
対応計画には、
- インシデントの分類
- 対応チームの決定と対応チームの役割
- 初動対応の手順
- 企業内部や企業外部へのコミュニケーション計画
これらの項目を策定しておきましょう。
- 効果的な訓練方法
インシデントへの対応を訓練することで、
- 対応が迅速かつ効果的に行うことができる
- インシデント対応のノウハウを後任に伝えることができる
これらの2つの効果があります。
避難訓練のような腰を据えた訓練をする必要はなく、インシデント発生を想定した研修により行うことでも十分でしょう。
訓練方法は、シナリオベースの演習、テーブルトップ訓練、実機を使用した模擬訓練があります。
訓練の際には、実際にインシデントが発生した場合の被害・重大さを理解しておくと効果が高まります。
- 継続的な改善
情報技術は日進月歩で進化し、利用する情報技術も日々変わります。
このため、継続的な見直し・改善が欠かせません。
改善はリスクを抑えられないと判断したリスク項目に対して行い、頻度は重大さや発生頻度に応じて年1回または四半期で行うとよいでしょう。
四半期より短い頻度でおこなうと、見直しが大きな負担になってきます。
リスクが極大でなければ頻繁に行う必要は必ずしもありません。
セキュリティ意識向上のための従業員教育
従業員全体のセキュリティ意識を高め、日常的なリスク予防を促進するために従業員教育を実施します。
- 主要な教育内容
全従業員が備えてほしいセキュリティ意識、セキュリティ対策は下記の4点があげられます。
- パスワード管理と強度
- フィッシング詐欺の識別方法
- 安全なインターネット利用習慣
- 機密情報の適切な取り扱い
- ソーシャルエンジニアリングへの対処
ITリスクは、情報へのアクセスをさせないことが第一ですから、機密情報や重要なシステムへアクセスさせないことへの意識を高めましょう。
また、基礎的な知識を知るだけでもITリスクへの対応は大きな効果があります。
- 効果的な教育方法
教育方法は以下の方法などがあります。
- オンラインセキュリティトレーニング
- 定期的なセキュリティニュースレター
- シミュレーションテスト（模擬フィッシングメールなど）
- セキュリティに関する短時間のミーティング
集合研修は場所や時間の制限もあり、インターネットを利用した研修講義の利用が増えています。
研修を受ける人にとって大事なことは「インシデントが発生したときの影響をイメージできるか」です。
対面で研修を行う、Webの利用による研修、講義形式の研修とそれぞれ一長一短があり、選択肢は様々あります。
どの方法で研修を行ったとしても、インシデントの重大さをイメージできて、自分事と意識できている状態であれば研修等の訓練が効果的になることは間違いありません。
研修メニューの策定、選択は大事ですが、研修受講者が自分事と思えるようにすることも考慮しましょう。
4)ベンダー管理とサードパーティリスクの軽減
自社でITシステムの開発、保守運用を行っている企業は多くありません。
また、1企業が利用するITシステムは1つであることも稀でしょう。
このため、ベンダー管理とサードパーティリスクの軽減が必要になります。
用語解説
- ベンダー：製品やサービスを提供する事業者や企業のことを指します
- サードパーティリスク：外部の事業者やパートナー企業に由来するリスクのこと
具体的な方法は、以下の手順と方法でおこないます。
- リスクの特定
ベンダーとの取引や連携に伴う潜在的なセキュリティリスクを洗い出します。
ベンダーを通じて情報漏洩するリスク、ベンダーが倒産してサービスを受けられなくなるリスク、といったリスク項目を洗い出します。
- ベンダー評価
セキュリティ対策や法令遵守状況など、ベンダーの信頼性を客観的に評価します。
ベンダーの利用が適切なのか、契約時に「01.リスクの特定」で洗い出したリスクが抑えられているのかを評価します。
- 契約管理
セキュリティ要件や責任範囲を明確にした契約を締結し、リスクを軽減します。
上記の契約はサービスレベルアグリーメント（通称：SLA）と言われます。
- 継続的モニタリング
定期的な監査やレビューを通じて、ベンダーのセキュリティ状態を継続的に確認します。
一度契約を締結すれば、ベンダーは品質を保ったままサービスを提供してくれるということはありません。
ベンダーの経営状態や提供されるサービスを評価し、契約を継続するのか、ベンダーへ改善要求などを行うのかを定期的に検討します。
- インシデント対応計画
ベンダーに起因するセキュリティインシデントに特化した対応手順を策定します。これには以下の要素が含まれます：
- 外部パートナー経由のデータ漏洩への対応手順
- サプライチェーン攻撃発生時の対策
- ベンダーのシステム障害が自社に及ぼす影響への対処
- 外部パートナーとの緊急時のコミュニケーション方法
- 法的・契約的責任の明確化と対応プロセス
この計画により、ベンダー関連のインシデントに迅速かつ効果的に対応し、被害を最小限に抑えることができます。
ITリスク管理と内部統制の統合
企業は規模や実施レベルは異なりますが、リスクへ対応するために内部統制が構築されています。
ITリスク管理と内部統制をどう関連させるべきか、互いの位置づけはどういったものか解説します。
IT全般統制（ITGC）との連携
ITリスク管理は、IT全般統制の重要な一部を形成します。
IT全般統制が提供する統制環境の中で、ITリスク管理活動を効果的に実施することで、より強固なIT統制体制を構築できます。
内部統制の構築は上場企業であれば法律によって定められていますから、ITリスク管理を内部統制に組み込むことで、効率的にすると同時にコストを低減しましょう。
具体的には下記のような方法で組み込みます。
- ITリスク管理プロセスをIT全般統制の枠組みに組み込む
- リスクアセスメント結果をIT統制の設計・運用に反映
- IT全般統制の評価にITリスク管理の視点を取り入れる
例えば、従業員に貸与される携帯電話やPCの管理はITリスク管理のためにも、内部統制でも必要ですが、管理方法は1つの方法で足りる、という考え方です。
縦割りで活動するのではなく、重なる部分や互いに利用できる部分を見つけ、うまく利用しましょう。
J-SOX対応におけるITリスク管理のビジネス価値
ITリスク管理はどのようなビジネス価値があるのか。
ただ管理してリスクに備えるだけではなく、ビジネス価値があるなら積極的なITリスク管理を行えるでしょう。
J-SOX対応において、ITリスク管理は財務報告の信頼性確保に不可欠な要素です。
以下の場面でITリスク管理とJ-SOXの内部統制の活動が要求されています。
- 財務報告に関連するITリスクの特定と評価
- J-SOX要求事項に沿ったITリスク管理プロセスの構築
- ITリスク管理活動の文書化とJ-SOX監査への対応
これらがビジネス価値にどう繋がるのかを解説します。
- 財務報告に関連するITリスクの特定と評価
J-SOXの要求事項には「財務報告の信頼性に影響を与えうるITリスクを特定・評価すること」があります。
これをビジネス価値創出の視点で価値をみると、
- 財務プロセスの可視化により、非効率な業務フローを特定し改善
- 潜在的な財務リスクの早期発見により、経営判断の質を向上
と置き換えられ、業務効率の向上、経営判断の迅速化に繋げることができます。
- J-SOX要求事項に沿ったITリスク管理プロセスの構築
J-SOX要求事項には「体系的なITリスク管理プロセスの確立」があります。
これをビジネス価値創出の視点で価値をみると、
- 標準化されたプロセスにより、部門間の連携が強化され業務効率が向上
- リスク管理の体系化により、新技術導入や新規事業展開の意思決定が迅速化
これも業務効率の向上と経営判断や意思決定の迅速化に繋がります。
- ITリスク管理活動の文書化とJ-SOX監査への対応
J-SOX要求事項には「ITリスク管理活動の記録と監査対応」があります。
これをビジネス価値創出の視点で価値をみると、
- 文書化を通じて組織の知識が蓄積され、継続的な改善が可能に
- 透明性の向上により、投資家や顧客からの信頼が増大
企業内のノウハウの蓄積と継承、外部からの信頼を得ることに繋がります。
このように、J-SOX対応のITリスク管理活動は、規制遵守だけでなく、組織全体のガバナンス強化とビジネス価値の創出に貢献するものなのです。
ITリスク管理の成熟度評価
ITリスク管理を始めたものの、どの程度の完成度なのかをインシデントが実際に発生してから、その対処の出来具合で評価するわけにはいきません。
そのため、成熟度評価をおこない、成熟度に応じた自社の状況把握、改善点や方向性を把握するための成熟度モデルのフレームワークがあるのです。
成熟度モデルの紹介
ITリスク管理で用いられる成熟度モデルをいくつか紹介します。
- COBITの成熟度モデル（COBIT Maturity Model）
「3. ITリスク管理のフレームワーク」で説明したものですが、組織がITガバナンスや管理の実行能力を評価し、改善するためのフレームワークの一部です。
情報システムや技術の管理・統制に重点を置いています。
一般的なITリスク管理のフレームワークとして使用されます。
- CMMI（Capability Maturity Model Integration）
CMMIはソフトウェア開発やシステム開発におけるプロセス改善モデルです。
特にソフトウェア業界で広く使用されていますが、他の業界でも利用されています。
- BPMM（Business Process Maturity Model）
BPMMは、業務プロセス管理（Business Process Management）における成熟度モデルで、組織のビジネスプロセスの成熟度を評価するために使用されます。
組織のビジネスプロセスの効率性や効果を高めるための改善に役立ちます。
成熟度モデルは上述したITリスク管理以外の目的で用いられるフレームワークもあります。
ITサービス管理で用いられるITILやプロジェクトマネジメントに用いられるPMMM、クラウドサービス提供者向けのSaaS Maturity Modelです。
この記事で説明するITリスク管理とはややことなるので簡単な紹介にとどめます。
成熟度レベルの一般的な段階
ここではCOBITの成熟度評価を例に成熟度レベルを説明します。
| 成熟度レベル | 状態 |
| レベル0 (不在) | プロセスが存在しないか、まったく機能していない状態 |
| レベル1 (初期/場当たり的) | プロセスは場当たり的で、標準化されていない。個々の対応に依存している |
| レベル2 (再現可能) | 同じ業務に対して同じ手順が踏まれるようになるが、標準化は不十分 |
| レベル3 (定義済み) | プロセスが標準化され、文書化されている。しかし、その遵守は個人に任されている状態 |
| レベル4 (管理され測定可能) | プロセスの遵守が監視され、測定可能になっている |
| レベル5 (最適化) | プロセスが継続的に改善され、最適化されている状態 |
プロセスとは、管理方法や内部統制と置き換えて解釈してください。
全てのプロセスをレベル5にしなければならないというものではありません。
ITリスク管理で領域を区切り、個々の領域でどのレベルまで必要であるかを明確にし、到達する計画を立て実行すればよいのです。
もちろん、一度達成した後も、モニタリングにより継続的な見直しを行いましょう。
まとめ
ITリスク管理は企業にとって重要な取り組みです。
効果的なITリスク管理のためには、COBITなどのフレームワークを活用し、
- 定期的なリスクアセスメント
- インシデント対応計画の策定と訓練
- 従業員教育
- ベンダー管理
これらを実施することが重要です。
また、ITリスク管理を内部統制やJ-SOX対応と統合することで、より効果的なリスク管理体制を構築できます。
フレームワークや内部統制を利用し、専門家と相談しながら構築し安心してITシステムの利用ができるように管理していきましょう。
参考資料・リソース
ITリスク管理体制の構築にCOBITフレームワークを活用する際、以下のウェブサイトが参考になります。適宜ご参照ください。
1. ISACA公式サイト (英語):
ISACAはCOBITを開発した組織であり、公式サイトでは最新のCOBITフレームワークに関する情報や資料を入手できます。
2. ISACA東京支部:
日本語での情報提供や、COBITに関するセミナー情報などが掲載されています。
3. IPA (情報処理推進機構):
IPAのサイトではITガバナンスやリスク管理に関する様々な情報やガイドラインが公開されており、COBITの考え方も参考にされています。
4. 経済産業省 システム管理基準（令和5年4月26日）:
https://www.meti.go.jp/policy/netsecurity/sys-kansa/sys-kanri-2023.pdf
COBITの考え方を取り入れた日本の基準であり、ITリスク管理体制構築の参考になります。
これらのサイトを参照することで、COBITフレームワークに基づいたITリスク管理体制の構築に役立つ情報を得ることができるでしょう。
当記事は以上になります。
最後までお読みいただきありがとうございました。
記事を読んだ感想、質問、疑問点あるいはご指摘事項がありましたら質問フォームにご記載ください。
可能な限りご回答させていただきます。
コメント