7-1. 対策基準の策定

図32. セキュリティ対策の関係図
（出典）総務省.”情報セキュリティポリシーの順守”. https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/12/

特徴 即時の対応や緊急事態への対処に適したアプローチ手法。
低コスト、短期間で実施可能。包括的ではないが即効性がある。 想定される適用ケース自社で発生する可能性が高い、または、発生したときの被害が大きいと考えられるインシデントに対して暫定的対策を行う場合。

特徴 組織全体での一貫性を確保し、セキュリティの最低基準を満たすことを目指すアプローチ手法。
ガイドラインやひな型を参考とし、対策基準を策定。
規制遵守の観点から一定の安全性が確保できる。
コストパフォーマンスがよい。 想定される適用ケース組織的に一定以上の対策基準を策定する場合。
包括的な対策は過剰で、基本的な水準の対策が適切だと判断される場合。

特徴 脅威や攻撃手法に対して、網羅的なセキュリティ対策を講じることを目指すアプローチ手法。
ISMS認証取得が可能なレベルを目指して、対策基準を策定。
コストが高くなる可能性があるが、組織のニーズに合わせた最適な対策が可能。 想定される適用ケースISMSのフレームワークに沿った対策基準を策定する場合。
情報システムが重要な組織や機密性の高い情報を扱う組織など、高い水準の情報セキュリティが求められる場合。

メリット ・小規模なセキュリティ対策や修正を迅速に実施可能。
・低コストでリスクを軽減でき、コストパフォーマンスがよい。
・流行中の攻撃の拡大や影響を最小限に抑えられる。
・リソースが限られていても実施可能。 デメリット・包括的でないため、抜けが発生する可能性がある。
・一時的な対策になりがちで、抜本的な対策にならない。
・長期的にみると費用が嵩んでしまう場合がある。

メリット ・組織全体で一貫性を確保できる。
・最低基準となるセキュリティ対策を講じることができる。
・ある程度の対策効果が見込め、コストパフォーマンスがよい。 デメリット・最低基準を満たすだけなので、十分なセキュリティ水準が確保できない可能性がある。
・追加のセキュリティ対策やリスクに対する適切な対応策を検討することが必要になる。

メリット ・組織のニーズに合わせた最適な対策が可能。
・リスクを徹底的に特定・分析できるので、高度なセキュリティ水準が実現できる。
・長期的な視点でPDCAサイクルを回せる。
・予測できない脅威や新たな攻撃手法に対しても準備ができる状態を維持できる。 デメリット・コスト（特に初期コスト）が高額になってしまうことが多い。
・リスク分析や対策の詳細設計に時間を要し、全体的なセキュリティ対策の実施が遅くなってしまう。