監査での指摘を、優先順位つきのセキュリティ実行計画に落とし込む

ご相談のときの状況

親会社によるシステムのアセスメントと、監査法人からの指摘を受け、セキュリティ対策の実行計画を立てることになりました。課題は、セキュリティの脆弱性、IT資産とサービスの管理、データベースの監査、パスワードの管理と、複数の領域にまたがっていました。

進め方

1. 01

   課題とリスクの整理

   指摘された課題とリスクごとに、現状（AsIs）とあるべき姿（ToBe）を定義しました。

   OUTPUT課題・リスクごとのAsIs／ToBe
2. 02

   施策化

   課題ごとに具体的な施策に落とし込みました。脆弱性対応では、バックアップ・リカバリ方針の見直し、パッチ適用の自動化、ログの統合監視（SIEM）、ゼロトラスト対応（SASE）、情報漏洩の防止（DLP/IRM）を検討しました。IT資産・サービス管理ではITAMとITSMの環境構築、監査対応ではデータベース監査ツールの導入とパスワードのルール見直しを施策にしました。

   OUTPUT施策一覧導入候補製品の比較
3. 03

   優先順位付けと実行計画

   施策ごとに優先度を付け、いつ何を実施するかを具体的に計画にまとめました。策定した計画に沿って、実行も支援しています。

   OUTPUTセキュリティ対策実行計画書

変わったこと

• 各課題・リスクについて現状分析とゴール設定を行い、実行できるレベルまで施策にした
• 施策ごとに優先度を付け、いつ何を実施するかを具体的に決めた

このプロジェクトに近いサービス