2-3. サイバーセキュリティアプローチ方法
サイバーセキュリティの脅威に対処するためには、効果的なサイバーセキュリティ戦略を構築し、段階的なアプローチをとることが必要です。（Lv1.クイックアプローチ、Lv2.ベースラインアプローチ、Lv3.網羅的アプローチ）
自社が直面しているリスク状況および活用できるリソースを考慮し、最適なアプローチ手法を選択します。以下にアプローチ手法を紹介します。
実施手法報道されるような事象・セキュリティ脅威に緊急対応します。活用できる文書/ツール名称（例） ・情報セキュリティ10大脅威（出典：IPA）
・情報セキュリティ白書2023（出典：IPA）
・サイバー攻撃を受けた組織における対応事例（出典：NISC）
実施手法ガイドブック、ひな型を参照し、迅速にセキュリティ対応します。 活用できる文書/ツール名称（例） ・リスク分析シート（出典：IPA）
・セキュリティ関連費用の可視化（出典：IPA）
・中小企業の情報セキュリティ対策ガイドライン第3版（出典：IPA）
実施手法網羅的なセキュリティ対策が定義されているフレームワークに沿ってセキュリティ対応します。 活用できる文書/ツール名称（例） ・ISMS（ISO/IEC27001:2022,27002:2022）
・NIST サイバーセキュリティフレームワーク（CSF）
・サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）
・低コストでリスクを軽減
・進行中の攻撃へ対応することにより、攻撃の拡大や影響を最小限に抑える1．脅威の特定 既知の脅威/過去のインシデントに基づいて、リスクの優先度付けを行いリスクを特定します。
・網羅的なアプローチの出発点
1．ベースラインの定義 セキュリティの基準となるベースラインを定義します。活用できる文書/ツール、内部のセキュリティ目標等に基づいて定義します。
・予測できない脅威や新たな攻撃手法に対しても準備ができる状態を維持
1．リスクアセスメント 情報資産を特定し、脅威や脆弱性の評価を実施します。また、リスクの特定と評価を行い、重要度や優先順位を設定します。
コラム
“情報セキュリティ”と“サイバーセキュリティ”の違いについて
本テキストでは、“情報セキュリティ”と“サイバーセキュリティ”という言葉が随所に出てきます。そこで、両者の違いを説明します。
情報セキュリティは、情報全般の保護を意味します。情報の機密性（Confidentiality） 、完全性（Integrity） 、可用性（Availability） を確保するための対策が目的となります（情報セキュリティの3要素「CIA」）。これには、物理的な文書やデータの保管方法、アクセス制御、暗号化などが含まれます。情報セキュリティは、デジタルに加えて、紙の文書などの非デジタル情報にも関連しています。また、3要素に加えて、真正性（Authenticity）、責任追跡性（説明責任）（Accountability） 、否認防止性（Non-Repudation） 、信頼性（Reliability） を合わせて情報セキュリティの7要素と呼ぶこともあります。
一方、サイバーセキュリティは、主にインターネットやコンピュータネットワークに関連するリスクに対処することを目的とします。サイバーセキュリティは、クラッキング、マルウェア、DDoS攻撃などの脅威から情報システムやネットワークを保護するための技術、ポリシー、手順を包括的に扱います。サイバーセキュリティは、コンピュータシステムやネットワーク上の脆弱性に対処するためのテクニカルなアプローチに重点を置いています。
要約しますと、情報セキュリティは広範な情報の保護を対象とし、物理的な文書やデジタルデータを含む一般的なセキュリティの概念を指します。一方、サイバーセキュリティは、インターネットやネットワーク上のリスクに対処するためのテクニカルなアプローチを特に重視しています。
