CompTIA SY0-701: ガバナンス、リスク管理、コンプライアンス — 学習ガイド
こちらの一部です： CompTIA Security+ SY0-701 — 学習ガイド. 検証済みの解答で練習： CompTIA試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.
ガバナンス、リスク管理、コンプライアンス (総称してGRC) は、技術的なセキュリティコントロールを組織の戦略、法的義務、そして財務的な現実と結びつける結合組織です。ファイアウォールやエンドポイントエージェントがシステムを防御するのに対し、GRCはそれらがなぜ存在するのか、誰が所有するのか、そしてその有効性がどのように測定・報告されるのかを定義します。成熟したGRCプログラムは、セキュリティを場当たり的な技術分野から、監査可能で再現性のあるビジネス機能へと変革します。
セキュリティガバナンスとその基盤
セキュリティガバナンスとは、組織のセキュリティ体制を方向付ける権限、説明責任、意思決定のフレームワークです。その最も重要な要素は経営層のスポンサーシップです。なぜなら、リーダーシップのコミットメントがなければ、ポリシーは棚ざらしの文書となり、予算は消えてしまうからです。ガバナンスは3つの階層の文書を作成します。ポリシー (経営層によって承認された、高レベルで必須の意図表明)、標準 (「すべての外部エンドポイントでTLS 1.3以上を必須とする」といった、具体的で測定可能な要件)、手順書またはSOP (ステップバイステップの運用指示)、そしてガイドライン (推奨されるが必須ではないプラクティス) です。これらの階層を混同することはよくある落とし穴です。ポリシーは何を、なぜを述べ、手順書はどのようにを述べます。
一般的な組織のポリシーには、従業員による企業システムの使用を規定する利用規定 (AUP)、パスワードおよびアクセスポリシー、データ分類ポリシー、インシデント対応ポリシー、変更管理ポリシーなどがあります。それぞれが技術的コントロールと懲戒プロセスを通じて施行されます。
リスクアセスメントと定量的分析
リスク管理は、資産と脅威の特定、可能性と影響の評価、リスクへの対処、そして継続的な監視というライフサイクルに従います。スコープの設定は、最初に行われる、しばしば過小評価されがちなステップです。これは、どのシステム、事業部門、データタイプ、脅威シナリオが対象となるかを含む、アセスメントの境界を定義します。スコープが定義されていないと、アセスメントは際限なく広がり、信頼性の低い結果を生み出します。
定量的リスク分析では、金銭的価値を用いてリスクを客観的に比較します。基本的な計算式は以下の通りです。
SLE (Single Loss Expectancy) = Asset Value × Exposure Factor
ARO (Annualized Rate of Occurrence) = Expected incidents per year
ALE (Annualized Loss Expectancy) = SLE × ARO
例えば、ランサムウェアインシデントが1回発生するごとに$15,000のコストがかかり、3年間で2回発生すると予想される場合、AROは2 ÷ 3 ≈ 0.667となり、ALEは$15,000 × 0.667 = 年間$10,000となります。よくある間違いは、AROを年単位に正規化し忘れることです。発生頻度が複数年にわたって与えられている場合、それに応じて割り算をしなければなりません。もう一つの罠は、SLEだけでコントロールを正当化することです。$500,000のSLEでAROが0.01 (ALE = $5,000) の場合、年間$50,000のコントロールを導入することはめったに正当化されません。
対照的に、定性的分析では、順序尺度 (低/中/高 や 1～5) とヒートマップを使用します。これはより迅速で、確実な財務データがない場合に役立ちますが、費用対効果の判断には精度を欠きます。
リスクアペタイトとリスク許容度は、経営層がどれだけのリスクを受け入れる意思があるかを定義します。アペタイトは許容可能なリスクの戦略的レベルであり、許容度はそのレベルからの許容可能な逸脱を表します。これらは、対策の決定前に定義されなければなりません。なぜなら、これらがアクションが必要となるしきい値を設定するからです。
リスクへの対処戦略
評価された各リスクは、4つの戦略のいずれかを用いて対処されます。軽減は、パッチ適用、セグメンテーション、MFAなどのコントロールを通じて、可能性や影響を低減させます。移転は、最も一般的にはサイバー保険や契約上の免責条項を通じて、金銭的な結果を第三者に移します。回避は、特定の種類のデータを保存しないなど、その活動を中止することによってリスクを排除します。受容は、一般的に対処コストがALEを上回る場合に、何のアクションも起こさないという公式に文書化された決定です。
危険な誤解は、保険を軽減策の代わりと見なすことです。保険は金銭的な影響を移転しますが、侵害、評判の毀損、または規制上の罰則を防ぐことは何もできず、これらの多くはサイバー保険の契約で明示的に除外されています。同様に、補完コントロール (主要なコントロールが実現不可能な場合の代替的な安全策) を導入することは、受容ではなく軽減の一形態です。レガシーシステムがMFAをサポートできず、代わりに強化されたロギングを備えたセグメント化されたVLANに隔離されている場合、そのセグメンテーションは補完コントロールであり、受容されたリスクではありません。
リスク登録簿
リスク登録簿は、リスク管理の中心的な成果物です。特定された各リスクと、その責任者、可能性と影響の評価、現在のコントロール、対処戦略、残留リスク、しきい値、およびレビュー日を文書化します。よく維持された登録簿により、経営層は支出の優先順位を決定でき、リスクに関する決定が追跡可能であることを監査人に示すことができます。典型的な登録簿のエントリは次のようになります。
Risk ID: R-2024-017
Description: Unpatched Apache Struts on public web tier
Owner: Director of Infrastructure
Likelihood: High | Impact: High | Inherent Risk: Critical
Treatment: Mitigate — WAF virtual patch + emergency change window
Residual Risk: Medium | Threshold: Any exploit PoC published
Review Cadence: Weekly until closed
リスクアセスメントは、一時点のものではなく定期的でなければなりません。脅威の状況、ビジネスプロセス、サードパーティとの関係は絶えず変化します。年次アセスメントに加えて、(大規模な買収、新しい規制、インシデントなどの) トリガーによる再評価を補足することが、受け入れられている標準です。
契約およびサービスアグリーメント
契約書は、当事者間の義務を法的に明文化するものです。基本サービス契約 (MSA) は、関係全体を規定する包括的な法的条件を定めます。作業範囲記述書 (SOW) はMSAの下で機能し、特定のエンゲージメントにおける具体的な成果物、タイムライン、および検収基準を定義します。サービスレベルアグリーメント (SLA) は、稼働率、応答時間、メトリクス未達の場合のペナルティなど、測定可能なパフォーマンスコミットメントを規定します。よくある誤りは、SOWとSLAを混同することです。SOWは「第3四半期までに顧客ポータルを納品する」と記述するのに対し、SLAは「ポータルは99.9%の可用性を維持し、インシデント対応時間は4時間とする」と記述します。
秘密保持契約 (NDA) は、当事者間で交換される機密情報を保護します。基本合意書 (MOU) は、協力する意図を表明するもので、通常は法的拘束力を持ちません。業務提携契約 (BPA) は、合弁事業を規定し、相互接続セキュリティ協定 (ISA) は、2つの組織がシステムを直接接続する際の技術的およびセキュリティ要件を定義します。
サードパーティリスクとサプライチェーン
サードパーティリスク管理は、組織のセキュリティ体制が、そのデータやシステムにアクセスするすべてのベンダーにまで及ぶという現実に対処します。デューデリジェンスは契約締結前から始まり（財務の安定性、セキュリティ認証、インシデント履歴のレビュー）、定期的な再評価、監査権条項、継続的な監視サービスを通じて関係が続く間も継続されます。
サプライチェーンリスクは、これをハードウェア、ソフトウェア、ファームウェアの来歴にまで拡張します。ソフトウェア部品表 (SBOM)、コード署名の検証、ベンダーセキュリティ質問票は、ますます必須となっています。2020年のSolarWindsの侵害は、信頼されたソフトウェア更新チャネル自体がどのように攻撃ベクトルになり得るかを正確に示しました。攻撃者はOrionのビルドパイプラインにバックドア (SUNBURST) を挿入し、それが暗号署名され、正規のアップデートとして約18,000の顧客に配布されました。悪意のあるコードは既知のベンダーからの信頼された署名付きパッケージとして届いたため、どの境界防御もそれを阻止できませんでした。この教訓は、サプライチェーンの信頼は当然のものと見なすのではなく、継続的に検証されなければならないということです。
証明、監査、および規制コンプライアンス
独立した保証にはいくつかの形式があります。SOC 2 Type II レポートは、AICPAの基準に基づき、認可されたCPAファームによって作成され、サービス組織のコントロールを一定期間（通常6〜12ヶ月）にわたってトラストサービス規準に照らして評価します。SOC 2 Type I は特定の時点のみを対象としており、証拠としてはかなり弱いです。SOC 1 は財務報告に関するコントロールを扱い、SOC 3 は一般公開向けの要約です。ISO/IEC 27001 認証は、運用されている情報セキュリティマネジメントシステムを証明します。
重要な区別点として、証明 (attestation) は公式な宣言であり、ベンダー自身が行う場合（自己証明）と、独立した監査人が行う場合があります。ベンダーの自己証明は、独立した第三者監査レポートよりも証拠としての価値がはるかに低いです。「貴社のSOC 2をください」と要求し、代わりにマーケティング用のPDFを受け取るのは、調達における頻繁な失敗です。必要な成果物は、監査法人の意見書が付いた、署名済みの実際のレポートです。
規制制度は特定の義務を課します。PCI DSS は、カード会員データを対象とし、ネットワークセグメンテーション、四半期ごとのASVスキャン、年次のペネトレーションテストといった規範的な技術要件を定めています。GDPR は、EUデータ主体の権利を確立し、72時間以内の侵害通知を義務付け、世界の年間売上高の最大4%の罰金を認めています。HIPAA は米国の医療情報を保護し、SOX法 は財務報告の完全性を規定し、GLBA法 は金融機関に適用されます。コンプライアンスは天井ではなく、最低限の基準です。PCI準拠であることはセキュアであることを意味するのではなく、評価時点で定義されたベースラインが満たされていることのみを意味します。
実践シナリオ: GRCの失敗が規制上の罰則につながるケース
ある地域の医療ネットワークが、セキュリティのデューデリジェンスを実施せず、また契約に監査権条項を含めずに、請求プラットフォームをサードパーティベンダーにアウトソースしました。このベンダーはランサムウェアインシデントに見舞われ、34万件の患者記録が漏洩しました。この医療ネットワークは、業務提携契約 (BAA) のレビューを実施しておらず、ベンダーのセキュリティコントロールに関する証拠もなく、この関係のリスクアセスメントも行っていなかったため、HHS OCR (保健福祉省公民権局) は、同ネットワークがHIPAAのセキュリティ規則に違反していると判断しました。その結果、120万ドルの罰金と2年間の是正措置計画を含む和解に至りました。医療ネットワーク自体の技術的コントロールは適切でした。失敗は完全にガバナンスにありました。ベンダーリスクプログラムがなく、契約上のセキュリティ義務もなく、定期的な再評価も行われていなかったのです。このシナリオは、GRCの失敗が抽象的なコンプライアンス上の欠陥ではなく、具体的で定量化可能な金銭的および評判上の損害を生み出すことを示しています。
これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
試験に合格する →