Information Security Strategy
Information Security Strategy
Information Security Strategy（情報セキュリティ戦略）とは
ひとことで
事業の目標や戦略を実現するために、情報セキュリティが目指す状態と、そこへ到達するための道筋を示した長期的な計画。現状とあるべき姿の差（ギャップ）を分析し、施策の優先順位、必要な資源、指標を定める。
たとえると
旅行の計画で、行き先（あるべき姿）と現在地（現状）を確認し、どの交通手段で、いくらかけて、いつまでに着くかを決めるようなものです。行き先が決まらないまま切符を買っても、目的地には着けません。
現場ではこう使う
ある中堅メーカーの情報セキュリティマネージャーは、海外展開という経営方針を踏まえ、現状の成熟度とあるべき姿を比較しました。差を埋める施策を3年分に整理し、経営会議で承認を得てから、予算計画と指標に落とし込みました。
試験のポイント
EXAM POINTCISMでは「戦略を策定する際に最初に考慮すべきもの」として、事業目標・事業戦略との整合が最重要です。技術や最新の脅威から出発する選択肢より、事業目標とリスク選好を起点にする選択肢を選びましょう。経営層の支援を得ることも成功の鍵として頻出です。
混同しやすい用語との違い
- ISMSセキュリティを継続的に運用・改善する仕組み。戦略はその方向性と目指す姿を示す
- Business Case個別の投資の正当性を示す文書。戦略はセキュリティ全体の長期的な方向性