HOME
Lv026

「Lv026」の記事一覧

KRI（重要リスク指標）とKPI（重要業績評価指標）の決定的な違いはどれか。

KRIは「炭鉱のカナリア」であり、事故が起きる前に「危険水位に近づいている」ことを知らせる早期警戒アラ…

2026年3月5日

情報セキュリティガバナンスの枠組みとして「ISO/IEC 27001」を採用するメリットはどれか。

独自のルールではなく世界標準に準拠することで、顧客やパートナーからの監査要求を効率化し、網羅的な管…

2026年3月5日

Webアプリケーションにおける「CSRF（クロスサイトリクエストフォージェリ）」対策として最も有効なものはどれか。

認証済みのユーザーのブラウザに、攻撃者が用意した罠サイトから勝手にリクエストを送らせる攻撃を防ぐた…

2026年3月5日

インシデント対応の事後レビューで「根本原因はヒューマンエラー（担当者のミス）」と結論付けることが不適切な理由はどれか。

「人が悪い」で終わらせると、人が入れ替わればまた同じミスが起きる。ミスを誘発した環境要因を直さなけ…

2026年3月5日

CISOが「ビジネス部門の会議（戦略会議など）」に定期的に出席する主な目的はどれか。

「決まってから相談される」のでは手遅れ。ビジネスが動き出す源流の段階で情報をキャッチし、伴走するこ…

2026年3月5日

「リスクの所有権（Ownership）」をIT部門ではなくビジネス部門に持たせるべき本質的な理由はどれか。

「自分のデータだ」という当事者意識がなければ、ビジネス部門はセキュリティ対策を「IT部門からの邪魔な…

2026年3月5日

CI/CDパイプラインにおける「イミュータブル（不変）なサーバー」の概念が、パッチ管理プロセスに与える影響はどれか。

「修理」するのではなく「交換」することで、パッチ適用漏れや環境ごとの差異（ドリフト）を根絶する現代…

2026年3月5日

インシデント対応における「指揮命令系統（Chain of Command）」の明確化が不可欠な理由はどれか。

有事の際は平時の組織図とは異なる緊急対応体制（ICS等）が必要であり、誰の指示に従うべきかが一元化され…

2026年3月5日

「固有リスク（Inherent Risk）」が高い業務プロセスに対し、コントロールを適用しても「残留リスク」が高いままの場合、経営層が取るべき判断はどれか。

通常の対策でリスクが落ちないなら、その業務を続けること自体の是非を問うか、抜本的な改革（プロセス変…

2026年3月5日

セキュリティポリシーに「違反時の罰則」を明記することのガバナンス上の意義はどれか。

「守らなくても怒られない」ルールは誰も守らない。違反時の結果（懲戒等）を明確にすることで、コンプラ…

2026年3月5日