情報セキュリティ運営委員会の役割と責務(1)-1

「(1)情報セキュリティマネジメントの企画及び計画」についてですが、この中には、情報セキュリティマネジメントの企画、計画とこれの実施が含まれます。その内容としては、
(1)リスクアセスメント
(2)リスクマネジメント
(3)「情報セキュリティポリシー」の見直し
(4)従業員への普及・啓発
があり、この中でこれからも、多分一番重い業務は間違いなく、リスクマネジメントだと思います。
特に攻撃の主流が、サーバではなく、クライアントPCであり、かつ、メーラやOSではなく、Webブラウザを利用した攻撃が多くなってきているからです。
リスクアセスメントしている間もなく、次から次へと公開される脆弱性に関する洗い出しが本来は必要ではありますが、なかなか手が届かないということにはなる可能性は高くなるので、誰がどのようにチェックするかを慎重に考えないといけないと思います。
でも、セキュリティの造詣のある人でないと、チェックにすらならない可能性を考えると外部ソースの活用が本当は有効な解決策かもしれません。