セキュリティ診断

「詳しい人が気にかけている」状態ではなく、誰が判断し、誰が実務を担い、いつ経営に報告するかが決まっているかが目安です。

顧客の情報、技術の情報、会計の情報などが、どこに、どの重要度で置かれているかが一覧になっており、持ち出しや共有の決まりがあるかが目安です。

入社時だけでなく定期に行っているか、訓練のメールなどで確かめているか、報告した人が責められない運用になっているかが目安です。

一部の人だけでなく全員に設定しているか、設定していないアカウントを管理画面などで数えられるか、例外に期限があるかが目安です。

人事の手続きとアカウントの手続きがつながっているか、退職した日にアカウントを止めているか、共用のアカウントを誰が使っているかが分かるかが目安です。

クラウドやサーバー、ネットワークの機器の管理者が誰か分かっているか、管理者のアカウントでメールやウェブの閲覧をしていないか、操作の記録を見られるかが目安です。

異動や担当の変更で不要になった権限が残っていないか、「全員が見られる」設定の場所に重要な情報が置かれていないかを確かめているかが目安です。

パソコンだけでなく、ネットワークの機器や、業務のソフトも含めて更新しているか、メーカーのサポートの終わる時期が分かっているかが目安です。

入れているだけでなく、定義の更新が止まっていないか、警告がどこに届き、誰が見ているかが目安です。

どの入口が開いているかを一覧で説明できるか、使っていない入口が残っていないか、入口にも多要素認証を設定しているかが目安です。

どのデータを、どのくらいの間隔で、どこに取るかが文書になっているか、バックアップの失敗に気づけるかが目安です。クラウドのサービスのデータも対象に含めて考えます。

一部のファイルだけでなく、システム全体を戻す場合にどのくらいかかるかを測ったことがあるかが目安です。

社内のネットワークやふだんのアカウントが乗っ取られても、バックアップまで消されたり暗号化されたりしない形になっているかが目安です。

初期の設定のまま使っていないか、「リンクを知っている人は誰でも見られる」共有が残っていないか、記録の保存の期間を知っているかが目安です。

委託先の一覧があるか、契約に情報の扱い・再委託・事故のときの連絡が入っているか、委託先からの報告を受けているかが目安です。

部署や個人の判断で、会社が知らないサービスに業務の情報が入っていないか、使い始めるときに確かめる項目が決まっているかが目安です。

連絡網だけでなく、ネットワークから外す判断、記録（ログ）の保全、保守の会社や保険・警察などへの連絡の順番が決まっており、練習したことがあるかが目安です。

報告が必要になる場合の考え方、速報と確報の期限、判断に必要な情報（件数・情報の種類・原因）を集める方法が、事前に決まっているかが目安です。

地震などの災害だけでなく、ランサムウェアなどで数日から数週間システムが使えない場合も想定しているかが目安です。