Controlsについて解説していきたいと思います。書かれた文章なので、読み解くのに時間がかかりますね。力にはなるので、興味がある方は是非ともこの記事と実際の本文も読んでみてください。内容については個人的な見解も含まれていますので、認識が異なる場合はご教示いただけますと幸いです。1:ハードウェア資産䛾インベントリとコントロールこのコントロール目的としては以下となっています。ネットワーク上のすべてのハードウェアデバイスを能動的に管理(インベントリ作成、追跡、修正)し、アクセス権限を許可されたデバイスだけに付与します。許可されていないデバイスや管理されていないデバイスを検出し、これらのデバイスがアクセス権限を取得することを防止します。このコントロールが重要な理由として以下に纏めますと。・攻撃者は攻撃対象のIPアドレス帯に対して常にスキャン(調査)を行い、新規システムや保護(管理)されていないシステムがないかを調べている。・特にノートPCやBYODによって持ち込まれた個人所有のデバイスに関心がある。(それらはセキュリティの更新が行われていない可能性や既に侵害されている可能性があるため)・攻撃者が既に内部アクセス権を保持していた場合、次の標的や踏み台(ピボットポイント)を物色する。・これらを防ぐためには、企業ネットワークに接続する追加システム(デモシステム、一時的テストシステム、ゲストネットワークなど)を慎重に管理または隔離する必要がある。上記について実際にどのような対応をすればいいのかについて、以下の表が用意されています。次に上記点を踏まえて個人的な考察を行っていきます。1の検討(考察)内容については、一般的なセキュリティの管理でよく聞く内容かと思います。(出来ているか否かはここでは考えていません。)「アクセスする端末は管理しましょう」であったり、「端末の情報を常に最新にするようにしましょう」等。個人的に気になる内容としては「ツールを使用して」というところが気になる点です。アクティブな資産管理ツールを使用する等はある程度の予算を出してツールなりを購入しないといけないのではないでしょうか?(フリーでいいのがあればマジで教えてください。)大手企業や潤沢な資金がある組織であれば導入を検討できると思いますが、小規模な組織(例えば10人以下等)ではそのツールは導入できるのでしょうか。運用コストもかかりますし、ある程度稼働もかかるでしょう。逆に少人数の社員全員に対し目が届く組織については、NWにアクセスする端末の管理はエクセル等のファイルで持っていた方が稼働やコストの上でも優秀だったりするのではないかなと。※ITやセキュリティに強い人が多い組織ばかりではないので商用のツールを使用すればいい結果はもちろん出ると思いますが、組織の売り上げを考えた内容にしなければ経営自体が上手くいかなくなる可能性があります。※売上げ2000万の組織で1000万のツールは導入しませんよね・・・もちろんだからといって何もしないのは全然ダメです。各組織のリソースや予算、人数に合った良い方法を考えることが非常に重要です。いえばCISA等の試験ではこういった内容の問題も出てたな~と思いだしました。自組織の状態を鑑みて対応方法をそれぞれ検討する必要がありますね。一度皆様の所属している組織の状態を確認してみては如何でしょうか。アクセス許可リストや資産の棚卸をするだけで、かなり現状が分かるかと思います。(もしかしたらコストダウンもできるかも!)不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。7について2019/6/12にISACA東京支部の情報セキュリティ研究会にお試し参加をしてきました。Controlsに対して議論をさせていただき、個人的にも纏めたいな~という思いに駆られましたので、記事にしていきます。4について少し期間が空きましたが続きをやっていきます。今回はControl4についてです。Controlsには多少触れるのでは?と思っています。1について解説を行いました。2について解説を行っていきます。Liteというツールを使ってみたいと思います。3についてCISの投稿が続き、今回はControl3についてです。20まであるので、まだまだ先は長いですが頑張ります。内容については個人的な見解も含まれていますので、認識が異なる場合はご教示いただけますと幸いです。3に「継続的な脆弱性管理」というものがあります。コメントをキャンセルメールアドレスが公開されることはありません。名前メールサイト上に表示された文字を入力してください。12月tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って9年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。猫とセキュリティ.ホーム検索トップサイドバ。