5.7 脅威インテリジェンス
組織は情報セキュリティに関連する脅威インテリジェンスを収集し分析する必要があります。これは成熟した組織が非公式に既に行っていることを正式化するものです。
実装： 脅威フィードの購読、セキュリティアドバイザリの監視、技術スタックに影響する脆弱性の追跡。
5.23 クラウドサービスの情報セキュリティ
クラウドサービスの安全な使用、取得、管理に関する明示的な要件。クラウド固有のリスクに対応。
実装： クラウドプロバイダーのセキュリティ評価、責任共有モデルの文書化、クラウド構成のレビュー。
5.30 事業継続のためのICT準備状況
ICTシステムが事業継続要件をサポートする準備ができていることを確保。レジリエンスへの焦点を強化。
実装： 災害復旧手順のテスト、バックアップ復元の検証、冗長性の確保。
8.9 構成管理
セキュリティに関連するシステムの文書化された構成管理が必要。構成のドリフトを防止。
実装： Infrastructure as Code、構成ベースライン、変更追跡。
8.10 情報の削除
不要になった情報を安全に削除することを確保。データ最小化をサポート。
実装： データ保持ポリシー、安全な削除手順、検証プロセス。
8.11 データのマスキング
適切な場合に機密データのマスキングを要求。プライバシーとテストのニーズをサポート。
実装： テストデータの匿名化、ログの編集、適切な場合のトークン化。
8.12 データ漏洩防止
データの流出と不正な開示の防止に対応。
実装： DLPツール、出力フィルタリング、USB制限、メール管理。
8.16 監視活動
ユーザーとシステムの活動を監視するための要件を正式化。
実装： SIEM、ログ集約、ユーザー行動分析。
8.23 Webフィルタリング
悪意のあるコンテンツへのアクセスを防ぐためのWebフィルタリングが必要。
実装： DNSフィルタリング、プロキシサーバー、URL分類。
8.28 セキュアコーディング
ソフトウェア開発におけるセキュアコーディング原則に関する明示的な要件。
実装： OWASPガイドライン、コードレビュー、SAST/DAST、セキュリティ教育。