読者、私はあなたに少し秘密をさせてあげる…
あなたと私の間で、私はハッキングされました。 ありがたいことに、それはただの刺激的ないたずらだったが、それは私に教訓を教えるのに役立った。
私はデジタルのすべてについて知る必要があるすべてを知っていたという私の壮大な信念にもかかわらず、私は合法的なものからの詐欺的なメッ そして、この種の脅威は、企業が今日直面する最大のリスクの一つです。
2005年、米国では157件のデータ侵害が報告され、6690万件の記録が暴露された。 2005年から2014年にかけて、データ侵害の頻度は500%増加しました。
その数は3年でほぼ倍増し、2017年に報告された1,579件の違反になりました。
その後、データ侵害は減少していますが（2019年には1,506件の問題が報告されました）、IBMの2020年のデータ侵害報告書は、5年間でデータ侵害コストが12％上昇し、1件当たり約392万ドルに増加しました。
侵害の数とそれに関連するコストの増加は、継続的に変化するハッキング方法と（デジタル化による）エントリポイントの数の増加の結果であるよう
セキュリティ監査により、組織はデータ侵害の脅威に対する適応的な防御として、より厳しい安全の壁を設定することができます。
これを念頭に置いて、Process Streetはこの記事を究極のセキュリティ監査ガイドとして作成し、無料のセキュリティ監査チェックリストとプロセスにアクセ
:
- セキュリティ監査とは何ですか？
- 予防的リスク管理のための4つのセキュリティ監査チェックリスト
- セキュリティ監査のベストプラクティス
- セキュリティ安全性を強化するためのセキュリティプロセス
始めましょう！
セキュリティ監査とは何ですか？
セキュリティ監査は、組織が全体的な情報セキュリティ体制をテストおよび評価できる多くの方法の包括的な用語です。
組織がデジタル空間での情報の運用と保存に移行するにつれて、セキュリティ監査は組織のITインフラストラクチャを包括的に見直すことによ
徹底したセキュリティ監査は、システムの物理的構成、環境、ソフトウェア、および情報処理プロセスおよびユーザー慣行のセキュリティを評価します。 目標は、次のような法律をきっかけに規制遵守を確立することです:
- HIPAA:健康保険の可搬性および責任能力の行為は敏感な忍耐強いデータ保護のための標準を置く。 保護された健康情報を扱う企業は、HIPAAのコンプライアンスを遵守し、確実にするための安全対策を講じる必要があります。
- サーベンス-オクスリー法: Sarbanes-Oxley法（SOX法）は、詐欺行為から投資家を保護するために、企業の開示をより信頼性が高く正確にすることによって投資家を保護することを目的とした米
- California Security Breach Information Act:2003年に可決されたCalifornia Security Breach Information Actは、情報のセキュリティが侵害された場合に個人に通知するために、組織が個人に関する個人情報を維持す
考慮すべきセキュリティ監査には、主に4つのタイプがあります:
- コンプライアンス監査⇒
- リスク評価監査⇒
- 脆弱性評価⇒
- 侵入テスト👩💻
この記事の後半では、これらの監査タイプをより詳細に見て、関連する場合は内部セキュリティ監査チェックリストに無料でアクセスできます。
しかし、まず、内部監査と外部監査の違いを明確にする必要があります。
内部監査と外部監査
実施されるすべての監査は、外部監査または内部監査のいずれかです。
外部監査は、監査対象の組織から独立した認定された専門家によって行われます。 外部監査を実行する目的は、可能な限り公平な結果を収集することです。
内部監査は、一般的に内部プロセスとコントロールを改善するための管理ツールとして使用されます。 内部監査は、組織、規制機関、または政府によって設定された基準への特定の事業運営の遵守を確実にするために、独立して客観的に完了する必要があ
内部監査の主な特徴は次のとおりです:
- 彼らは自発的です。
- 彼らはあなたのビジネス/組織のメンバーによって内部的に行われています。
オペレーションマネージャーとして、内部監査はあなたとあなたのチームにとって最も関連性があります。 また、この記事では、4種類のセキュリティ監査で効果的な内部セキュリティ監査チェックを実施する方法について説明します。
内部セキュリティ監査が完了したら、その結果を上級管理職および取締役会に通知する必要があります。
4予防的リスク管理のための内部セキュリティ監査チェックリスト
セキュリティ監査チェックリストは、ビジネスの慣行を組織、規制機関、または政府 監査チェックリストは、内部セキュリティ監査評価を正確かつ効率的に毎回完了するために必要な最も重要なステップを通して、内部監査人を歩
Process Streetは、ビジネスプロセスをチェックリスト形式で無料で文書化するために使用できるビジネスプロセス管理ツールです。 幸いなことに、主要なセキュリティ監査プロセスに関しては、私たちはすでにあなたのためにほとんどの作業を行っています！
” あなたが探していたビジネスプロセス制御ソフトウェア。”-Wetmore Consulting Group Adam SchweickertのPartner&Integrator,Software Advice
Process Streetのチームはセキュリティ監査チェックリストを構築しており、対応する監査タイプとともに以下にリストしました。 継続的なセキュリティレビューを実施し、事業運営が常に同等になるようにするために、すべてのセキュリティ監査チェックリストを使用することをお勧めします。 Process Streetアカウントを使用して、これらのチェックリストに無料でアクセスできます。
: ISO27001監査チェックリスト
コンプライアンスセキュリティ監査は、組織のポリシーを調べ、アクセス制御を調べ、セキュリティを向上させるためにすべ
これらは、業界の特定の規制を遵守しなければならないビジネスに必要です。 これを行わないと、罰金および/または顧客の損失につながる可能性があります。
多くの企業が国際標準化機構（ISO）を威信のバッジと見なしていることは否定できません。 ISOは世界最大のビジネス原則であり、165以上の尊敬されている国家標準化団体に加盟しています。 起動するには、170カ国以上の百万人以上の企業や組織がISO認証のいくつかのフォームを持っています。
ISO27001シリーズの規格は、ユーザーの機密情報を保護するために特別に設計されており、これらの規格を遵守することはコンプライアンス監査の一例です。
あなたは、所定の位置に技術を持つことができます(ファイアウォール、バックアップ、ウイルス対策、権限など.）そして、まだデータ侵害や運用上の問題が発生しました。
これは、セキュリティの問題がツール自体ではなく、人々（または従業員）がこれらのセキュリティツール、手順、プロトコルを使用する方法にあるためです。
ISO27001規格は、リスクを特定し、セキュリティインシデントを防止するためのシステムの設置を要求することによって、この問題に対処します。
ISO27001情報セキュリティマネジメントシステム(ISO27K ISMS)監査チェックリストを実行し、ISO27001:2013要件に対する組織の情報セキュリティマネジメントシステ
ISO27001情報セキュリティマネジメントシステム（ISO27K ISMS）監査チェックリストにアクセスするにはここをクリック！
キーチェックリスト機能:タスクを停止して、強制的な順序でチェックリストを作成し、関連するまでタスクを無効にします。 コンプライアンス監査に関しては、停止タスクが管理手段として機能し、タスクが見逃されず、すべてのコンプライアンス基準に照らしてアクセ
Iso標準とその実装方法の詳細については、ISO:Everything You Need to Know(Ultimate Guide+Free Templates)の記事をお読みください。
リスク評価:リスク管理プロセス
リスク評価は、セキュリティ監査の最も一般的なタイプの一つです。 リスク評価の目的は、企業が組織のセキュリティ機能に関連するさまざまなタスクを特定、推定、および優先順位付けするのを支援することです。 セキュリティリスク評価は、企業がセキュリティ対策をテストすることにより、特定の種類の問題に対応する能力を評価するのに不可欠です。
セキュリティリスク評価を成功させるには、良いプロセスに従うことが役立ちます。 当社のリスク管理プロセスチェックリストは、組織のセキュリティリスク評価と管理アプローチを適応させ、洗練するための確固たる足場を提供し
リスク管理プロセスにアクセスするにはここをクリック！
キーチェックリスト機能:タスク割り当てを使用すると、チェックリスト内のタスクにユーザーやグループを割り当てることができ、効果的にそれらのタスク これにより、適切なチームメンバーが適切なタスクに責任を負うことが保証され、効果的なチームコラボレーションがリスク評価を実施するのを助
あなたは簡単にあなたの特定のニーズに合わせて、このチェックリストを編集することができます。 これを行う方法の詳細については、以下のビデオをご覧ください。
脆弱性評価:ネットワークセキュリティ監査チェックリスト
脆弱性評価セキュリティ監査の目的は、セキュリティシステム全体に体系的に広まり、悪用される危険性があるセキュリティの弱点を特定することです。
私たちのネットワークセキュリティ監査チェックリストは、システム内の人間とソフトウェアの両方のリスク、特にこれら二つのリスクがどこで その目的は、そのシステムに存在するすべてのリスクの概要を把握することです。
このネットワークセキュリティ監査チェックリストを実行して、脆弱性評価セキュリティ監査を実施し、インフラストラクチャ内のセキュリティ
ネットワークセキュリティ監査チェックリストにアクセスするにはここをクリック！
: 私たちの変数機能を使用すると、チェックリストの他の部分にフォームフィールドから値を挿入することができます。 変数は、テキストウィジェットや電子メールウィジェット内で使用して、プロセス内の次のステップまたは人に情報を渡すことができます。 ネットワークセキュリティ監査では、この機能は監査からの重要な情報を電子メールにコンパイルし、ボタンをクリックするだけで関連する利害関係者
侵入テスト:ファイアウォール監査チェックリスト
侵入テストは、一般的に倫理的なハッカーと呼ばれる人々によって実行されます。 これらのハッカーは、伝統的なハッカーと同じ方法で、会社の内部の仕組みにアクセスしようとするために支払われます。 侵入テストの目的は、サイバーセキュリティ侵害につながる真のハッカーによって悪用される可能性のあるシステムの弱点を特定することです。
通常、侵入テストハッカーは最新のハッキング手法の専門家であり、絶えず変化しています。 このため、私たちの高度に接続されたビジネスの世界では、複数のハッカーのエントリポイントがあるという事実のために、侵入テストの基礎を築く標準的なgo-toプロセスはありません–私たちは倫理的なハッカーにそれを残しておきます。
侵入テスト中にセキュリティファイアウォールをスクラッチすることが重要です。
ファイアウォールは、送受信ネットワークトラフィックを監視し、定義されたセキュリティルールのセットに基づいて特定のトラフィックを許可またはブ ファイアウォールは、ハッカーに対する防御の最初の行として機能します。 したがって、侵入テスト中にあなたのものが一流で安全であることを確認することが不可欠です。
私たちのファイアウォール監査チェックリストは、ファイアウォールができるだけ安全であることを確認する方法のステップバイステップのウォークスルーを提供するように設計されています。
セキュリティとパフォーマンスを最適化するためにファイアウォールのレビューを開始するときに、このファイアウォー あなたのセキュリティ防御の脆弱性を特定し、習慣的に離れて混乱をクリアし、関連性のためにあなたの権限を更新します。
ファイアウォール監査チェックリストにアクセスするにはここをクリック！
主要なチェックリストの特徴:承認は関係者が重要なチェックリスト項目のgo-aheadか拒絶を与えることができることを意味する。 この場合、私たちは上級管理職によって検討され、承認される実用的なファイアウォールの改善について話しています。
効果的なセキュリティ監査を実行することの重要性（ケーススタディ付き）
セキュリティ監査は、情報侵害や結果的な財務および倫理的コストを防 セキュリティ監査を実施する場合、企業はその活動を評価し、セキュリティの問題点とリスクを特定し、セキュリティ強化のための積極的なアプロー
いくつかの業界（医療および金融）では、セキュリティ監査が法律によって必要です。 法的に拘束されているかどうかにかかわらず、セキュリティ監査を実行することは、組織の安全と成功に不可欠です。 Varonisが詳述しているように、定期的なセキュリティ監査を実施することは次のようになります。:
- セキュリティ戦略が適切かどうかを確認します。
- セキュリティトレーニングの取り組みを積極的にチェックし、監査結果、つまりビジネスセキュリティをある監査から次の監査に改善するかどうか
- 監査中に発見された無関係なハードウェアやソフトウェアをシャットダウンまたは再利用することにより、セキュリティビジネスコストを削減
- 新しい技術やプロセスによって組織に導入された脆弱性を明らかにします。
- あなたの組織がHIPAA、SHIELD、CCPA、GDPRなどの規制に準拠していることを証明します。
セキュリティ監査プロセスが不十分で効果がない場合はどうなりますか？ 以下のケーススタディを使用して、強化され最適化されたビジネスセキュリティの真の重要性を明らかにしました。
ケーススタディ: EasyJetセキュリティ監査違反
2020年5月、EasyJetは2,208人の顧客に電子メールアドレス、旅行情報、クレジットカードの詳細、CVVセキュリティコードが公開されたと発表しました。 イージージェットは不正行為が行われなかったと主張したが、アクション詐欺によるさらなる調査では、イージージェットのセキュリティ侵害で不正行為の51例が行われたと報告された。
情報コミッショナー事務所（ICO）は、公衆の利益のために情報の権利を守ることを担当する独立した規制事務所です。 ICOは、違反に対して$130百万の罰金の記録を発行し、顧客への追加の報酬支払いを行った。 この違反はまた、ブランドがその公共のイメージに関する否定的な反発を受ける原因となった。
ケーススタディ：Zoomセキュリティ監査違反
COVID-19のパンデミックに照らして、世界中の組織はより遠隔の作業スタイルを採用することを余儀なくされています。 これを行うには、組織を支援するために、ズームなどのリモートワークツールは、最前線に来ています。 これらのツールを使用すると、ビジネスの混乱にもかかわらず、組織は効果的かつ生産的に動作し続けることができます。
それでも、Zoomでさえ問題のかなりの割合を持っています。
2020年4月の初め、従業員が新しい在宅勤務環境に落ち着いていたとき、仮想会議アプリが屈辱的なセキュリティ侵害を受けたことが明らかになりました。
500,000人以上のユーザーのログイン資格情報が公開されました。 この情報は、ハッカーフォーラムを介してダークウェブでlittle0.01のように少し販売されました。
犯罪者は、ログイン資格情報、電子メールアドレス、個人的な会議Url、およびホストキーを使用して会議に参加したり、収穫された情報を他の悪意のある目的のために使用したりすることができました。
従業員データの侵害（違法に共有されたデータなど）は、組織が従業員主導の訴訟や、ほとんどの管轄区域で規制上の罰金に直面する可能性があります。
連邦取引委員会は、広範な情報セキュリティプログラムを実施するようZoomに命じた。 組織は、本契約に基づく将来の違反ごとに最大$46,280の罰金に直面するでしょう。
セキュリティ監査のベストプラクティス
では、内部セキュリティ監査が有効であることをどのように確認しますか？
ビジネスセキュリティを最適化するために、次のセキュリティ監査のベストプラクティスを検討します:
- セキュリティ監査スコープを設定する§
スキャンおよび監視する優先度の高い資産はどれですか？ 機密性の高い顧客や会社のデータ、内部文書、ITインフラストラクチャなどの重要な資産のリストを作成します。 つまり、監査でどのような詳細がカバーされるか、どのような詳細が除外されるか、およびその理由です。 - 潜在的な脅威をリストする§
未確認の脅威の周りにシールドを構築するにはどうすればよいですか？ 組織に対する脅威に名前を付けて、探しているものを理解してください。 一般的なセキュリティ上の脅威には、怠慢な従業員、マルウェア、フィッシング攻撃などがあります。 これらの脅威についての詳細は、それらを解決するのに役立つ関連するチェックリストとともに、以下に示します。 - 現在のセキュリティパフォーマンスのレベルを評価する¶
あなたが正しいことを考えなければなりません。 セキュリティの取り組みはどこで改善できますか？ チームは、厳格なセキュリティ手順とベストプラクティスに固執する必要があります。ここで、プロセス文書が独自のものになります。 ベストプラクティスを文書化することで、チーム全体に配布し、すべての従業員が最良のセキュリティ手順に従っていることを確認できます。 無料のProcess Streetアカウントを設定し、セキュリティシステムの文書化を開始します。
- 設定スキャンの設定¶
ハイエンドスキャナを使用すると、セキュリティの脆弱性を検出し、システムセキュリティの改善の有効性を評価するのに役 あなたが使用していないことあなたが使用できるmalware/anti-spywareプログラムについて考えなさい。 使用を検討するプログラムには、McAfee Total Protection、Norton、Zone Alarmなどがあります。 セキュリティ監査を行うときは、チーム内のユーザーが行った可能性のある構成の間違いを発見するのに役立つ構成スキャンを実行する必要があります。 - 積極的で反応的ではない§
緊急のアラートだけでなく、すべてのレポートに目を離さないようにしたい。 そうすることで、反応的なアプローチではなく、より積極的なアプローチをセキュリティに採用します。 セキュリティレポートの情報は、最初は驚くべきことに見えないかもしれませんが、時間の経過とともに、主要な脅威が表面化する可能性があります。 - 内部脆弱性スキャンを実行する§
次のようなエンタープライズレベルの脆弱性スキャナーを選択しますIntruder.io またはネッソス。 これらのスキャナーは、組織のコンピューターにエージェントをインストールして、脆弱性レベルを監視します。 内部の脆弱性スキャンを毎月または四半期ごとに実行することをお勧めします。 - フィッシングテストの実行¶
効果的なサイバーセキュリティトレーニングとして、チーム内の人々に偽のフィッシングメールを送信するルーチンを設定します。 これを行うことは、チームメンバーがフィッシング攻撃の現実に近い経験を得ることを意味し、ハッカーが機密情報にアクセスできるシナリオに対する脆弱性を評価することができることを意味します。 - ファイアウォールのログを監視する§
ファイアウォールの不整合や異常な動作を探します。
情報セキュリティを強化するためのセキュリティプロセス
私たちは、セキュリティ監査とは何か、セキュリティ監査のベストプラクティス、四つのタイプのセキュリティ監査をカバーし、各タイプのアクションを支援するための四つのセキュリティ監査チェックリストを提供しました。 しかし、セキュリティ監査基準を改善するために、バックグラウンドで実行する必要がある他のセキュリティプロセスもあります。
組織の情報セキュリティを強化するいくつかのプロセスストリートチェックリストに深く掘り下げてみましょう。
Enterprise Password Management Checklist Template
明らかに思えるかもしれませんが、従業員が機密データに弱いパスワードを使用している場合、これはビジネスに内部セキュリティ上の
プロセスストリートでは、従業員はこれを回避するために、関連するすべてのアカウントに対して二要素認証アクセス権を持っています。 私たちは、安全に二要素認証コードに加えて、パスワードの強さを保存し、評価するためにLastPassを使用しています。
また、エンタープライズパスワード管理を強化するために、エンタープライズパスワード管理チェックリスト
ここをクリックして、企業パスワード管理チェックリストテンプレートにアクセスしてください！
ITセキュリティインシデント対応計画
マルウェアや悪意のあるソフトウェアは、ハッカーが機密情報にアクセスするために使用するウイルスやその他の有害なコンピュータプログラムの包括的な用語です。 侵害されたアプリケーションを隔離することで、攻撃者が他のシステムやネットワークリソースにアクセスするのを防ぎ、その試みを無駄にすること
Process Streetでは、ITセキュリティインシデント対応計画を使用して影響を受けるシステムを分離します(タスク15)。 マルウェアの問題を含む、無駄のない迅速なセキュリティインシデント対応には、このチェックリストを使用します。
ここをクリックして、ITセキュリティインシデント対応計画にアクセスしてください！
メールサーバーセキュリティチェックリスト
フィッシング攻撃は、評判の良いソースから来ているように見える詐欺的な通信です。 多くの場合、電子メールはフィッシング攻撃の主な標的です。
技術的な観点からあなたの電子メールを保護するために取ることができる多くのステップがあります。 たとえば、Process StreetではSPF、DKIM、DMARC、DNSSECを有効にしています–同じことをどのように行うことができるかについての情報は、電子メールサーバーのセキュリティチェックリ
メールサーバーのセキュリティチェックリストにアクセスするにはここをクリック！
WordPressのセキュリティ監査チェックリストテンプレート
あなたはまた、Wordpressでファーストクラスのブログを管理している場合は、ここProcess Streetで私たちのように、あな
WordPressアカウントが適切かつ定期的に管理されていない場合、サイトが侵入しやすくなり、会社の状態が損なわれる可能性があります。 WordPressのセキュリティ監査を実行すると、webサイトへの脅威の準備と回避が可能になります。
WordPressのセキュリティ監査チェックリストテンプレートにアクセスするにはここをクリック！
情報セキュリティチェックリストテンプレート
情報セキュリティは、あなたの会社の個人情報をプライベートに保つために優先されるべきプロセ あなたの会社の機密情報が適切に保護されていない場合、それはあなたの会社と従業員のプライバシーと将来を損なう、侵害される可能性があります。
情報セキュリティの管理が必要な場合は、いつでも情報セキュリティチェックリストテンプレートを実行します。
情報セキュリティチェックリストテンプレートにアクセスするにはここをクリック！
セキュリティ上の脅威から組織を保護するためのプロセスに従う
会社のパスワードを管理しているか、コンプライアンス基準を満たすために内部セキ
無料のProcess Streetアカウントを使用して、最適化されたセキュリティプロセスを作成できます。 セキュリティ監査チェックと定期的なセキュリティプロセスを実行して、究極のビジネス保護を実現します。 あなたは何を待っていますか？
Process Streetにサインアップして、今日から始めましょう！
監査プロセスの詳細については、以下のリソースを参照してください:
- 監査手順：19（無料）テンプレート付きクイックツアー
- 監査プロセス：あなたの監査権を取得するための5つの専門家のステップ
- 財務監査：無料のテンプ4765>