todkm IT系

”（SCS 評価制度）において、令和９年３月頃の運用開始後、「★」を取得した企業等がサイバー攻撃を受 けた場合に、NCO から「★」取得企業に対して関係情報を求めることが可能な仕組みを導入” cas.go.jp/jp/seisaku/cyberse…

SOC2取得企業の立場で、SCS評価制度の評価基準（10/28付 Ver.1.1）とSOC2を比較してみた 比較対象 ・SCSの★3・★4要求事項・評価基準（153件） ・自社でSOC2として採用しているコントロール（約160件） 比較の観点 ・SOC2で整えた統制を、SCSにどれだけ流用できるか ・評価基準1件ずつに「ほぼ充足」「部分的に充足」「該当なし」を判定 ざっくり結果 ★4に必要な全153件 ・5割はほぼ充足 ・4割は部分的に充足 ・1割は自社のSOC2コントロールに該当無し ★3に必要な81件だけで見ると ・6割はほぼ充足 ・3.5割は部分的に充足 ・該当無しは3件だけ 違いはどこにあるか 1. 差の多くは「SOC2に対策が無い」からでなく「SCSが具体的な数値を決めている」から ・SCSは「CriticalやHigh、CVSS7.0以上を修正するパッチは原則14日以内にあてよ」となっているが、SOC2では自社の脆弱性管理ポリシーで決める ・パスワードの最低文字数、ロックまでの失敗回数、ログの保存期間なども同じ 2. スコープにズレがある ・SOC2は自社の提供サービスとその周辺、SCSは全社のIT基盤。脆弱性スキャンやマルウェア対策の対象がズレる ・とはいえ、SOC2でもサービスの運営に関わる人員が使うPCのセキュリティなどは監査対象。SCSはその辺りが広く、深い。 3. SOC2の方が厚いところ ・開発プロセス（コードレビュー、リリース承認、テスト、変更管理） SCSは組織全体に影響が及ぶ範囲（ガバナンス、取引先管理、IT基盤の防御等）が対象で、ソフトウェア開発のセキュリティを対象にした制度とは目的が異なるとしている 4. 一番の思想の違い：リスクベースアプローチ ・SOC2は、各社が自社のリスクを評価して統制を組み立てることまでを求める（リスクベースアプローチ） ・SCSは、★3・★4までは、国がリスク分析した結果の共通の対策を示す（ベースラインアプローチ） ・SCSもリスクベースアプローチがより望ましいと考えており、各社に求めるのは★5で検討中とのこと まとめ ・SOC2の統制が回っていれば、SCS★3・★4の多くは射程内で、残るポイントは「SCSの具体的数値要求・基準も充足しているか」「全社をどこまでカバーできているか」 ・逆にSOC2は、開発プロセスなどSCSが主眼にしていない領域まで見ている ※評価基準1件ずつを自分の解釈で突き合わせたもので、公式のマッピングではありません。比較に使ったのはあくまで自社のSOC2に採用しているコントロールであり、他社のSOC2とは異なります。

退職したCTCテクノロジーについてopen workで口コミ書こうとしたら、差し止め喰らいました笑 事実を書かせて頂きたいものです。別の被害者を食い止めるために必要なことです。

mihoyoさんは原神もスターレイルも客層掘り起こすの早すぎていきなり井戸が枯れたところへAIキャラクターチャットのようにさらに枯れた荒地に進撃してきて、流石に経営どうなっとるんだという感は強い 客から金吸い上げるスピードが早すぎるンゴねえ… そりゃ下の世代だけじゃなく上も枯れるよ

Happy Halloween🎃🎃🧙‍♀️ 📢本日10/31(土)22時〜 日テレ「news LOG」✨ ナレーションを担当いたします🎙️ 是非観てね🤗 #newsLOG