GRC / GRC-01
EBIOS リスクマネージャーのリスクアセスメント
ビジネス目標をサイバーリスクシナリオおよび組織が決定した対策計画に結びつける構造化された手法.
役立つとき
的確な回答
定義されたニーズに対して.
経営幹部、CISO、または事業主：新しい機密性の高いサービス、予算決定、またはセキュリティの優先事項を正当化する必要性。.
適用範囲と成果物
このエンゲージメントの対象範囲.
スコープ
- 5つのワークショップ：範囲とセキュリティの基準
- リスクの発生源
- 戦略シナリオ
- 運用シナリオ
- 治療と残留リスクのモニタリング
成果物
- 評価ファイル
- 優先順位付けされたシナリオ
- オーナーとの治療計画と残留リスク記録
検収証拠
スコープ、仮定、シナリオ、および治療決定は承認済みであり、リスクの受け入れは承認された意思決定者が行う。.
配達
仕事の進め方.
アプローチ
スコープとコンテキストの定義、事業オーナーおよび意思決定者の関与、リスクやギャップの評価、統制策の決定、フォローアップとエビデンスの整理。.
前提条件と責任
顧客：スポンサー、対応可能な事業主、リスク決定、および必要に応じた法的助言。提供者：方法論、ファシリテーション、分析、および決定ファイル。.
スコープ要因
エンティティ、プロセス、ステークホルダー、規制の範囲、文書の成熟度、ワークショップ。ニーズに応じて、プロジェクト、定期サポート、またはフラクショナルCISO。.
確認のための質問
どのビジネスミッションが保護を必要とするか？どのチームが参加するのか？残余リスクを誰が負担し、資金管理は誰が担当するのか？
重要な境界線
シネマ分析は意図的な脅威に焦点を当てています。セキュリティ基準は引き続き不可欠です。これはスキャンでも侵入テストでもありません。.
本業務は、合意された枠組みに対する決定事項およびエビデンスを支援するものです。法的助言、独立した認証、ならびに規制当局や評価機関の決定事項は、引き続き個別の責任範囲となります。.
実際には
具体例.
これらの例は、想定される関与と目標とする成果について説明したものであり、顧客の事例や達成された実績ではありません。.
シナリオ01
ディストリビューターはERPとメンテナンスプロバイダーに依存しています。プロジェクト：調達、営業チーム、ITによるワークショップ。目標成果：最新製品のプレゼンテーションよりも、契約者のアクセス、リカバリー、そしてビジネスの中断に対する検出を優先させること。.
シナリオ 02
ソフトウェア会社が契約管理ポータルを立ち上げる。プロジェクト：ビジネス資産、エコシステム、攻撃経路を分析する。目標：セキュリティ要件を統合し、残存リスクを記録する。不可欠な関係者が変更を要求する場合、再スケジュールが必要となる。.
技術と参照コンテキスト
ANSSI EBIOS RM手法、ワークショップ資料、および顧客に合わせたリスク登録書.
最終的なテクノロジーセットは、相互運用性、ライセンス、アクセス権、および運用要件に基づき、スコープ設定の段階で合意されます。.
コネクテッドサービス
次のステップを構築する。.
これらのサービスはエンゲージメントを補完するものであり、自動的には含まれません。.
会話を始めましょう。
スコープを明確にする。.
このサービスの目的、依存関係、および責任範囲を明確にした上で、納品を提案いたします。.