1. ISO/IEC:国際標準化
    1. TCSEC:Trusted Computer System Evaluation Criteria
      1. コンピュータシステム評価基準
      2. オレンジブック
      3. ISO/IEC 15408に継承
    2. ITSEC:Infomation Technology Security Evaluation Criteria
      1. ホワイトブック
    3. ISO/IEC 15408
      1. 情報セキュリティ評価基準
      2. CC:Common Criteriaとも呼ばれている
      3. ST:Security Target
        1. TOE:Target of Evaluation に関するセキュリティ仕様書
      4. PP:Protection Profile
        1. セキュリティ要件を特定する文書
      5. EAL:Evaluation Assurance Level
      6. JISX 5070
        1. 2000年７月に採択
    4. ISO/IEC 17799
      1. 情報セキュリティ実践規範
      2. BS 17799-1を継承
      3. JISX 50９0→JIS Q 27002
    5. ISO/IEC27001
      1. ISMS: Information Security Management System
        1. PDCAサイクル
        2. JIS Q 27001に準拠していることを認定する制度
      2. BS 17799-2
      3. JIS Q 27001:2005
        1. 情報セキュリティマネジメントシステム要求事項
        2. ISO/IES 17799を継承
      4. JIS Q 27002:2006
        1. 情報セキュリティマネジメントシステム実践規範
          1. ISMSを実践するための規範がまとめられている
    6. ISO/IEC TR13335
      1. GIMITS: Guidlines for the Management for IT Security
      2. ITセキュリティマネジメントガイドライン
        1. IT部門のためのガイドラン
  2. リスクマネジメント
    1. 許容されるコストの範囲内でリスクを最小限に抑え、除去するようにコントロールすること
    2. リスクアセスメント
      1. リスク
        1. 純粋リスト
        2. 投機的リスク
        3. 情報リスク
          1. 情報資産
          2. 脅威
          3. 人間による脅威
          4. 意図的
          5. 盗聴、改ざん
          6. 偶発的
          7. 物理的な事故
          8. 環境による脅威
          9. 地震、落雷
          10. 脆弱性
        4. リスク値＝情報資産の価値×脅威×脆弱性
        5. 事象の発生確率
          1. 脆弱性の大きさ×脅威の大きさ
        6. 事象の影響度
          1. 情報資産の価値
      2. ベースラインアプローチ
        1. 国際規格をもとに適合をチェックする
      3. 詳細リスク分析アプローチ
        1. ①情報資産を洗い出し、価値を評価する。
        2. ②情報資産ごとの脅威と脆弱性を識別し、リスクを定量化する
        3. ③リスクに応じた管理策を確認する
      4. 組み合わせアプローチ
        1. 詳細リスク分析とベースラインを組み合わせる
      5. 非形式アプローチ
        1. 各個人の知識と経験を利用する
      6. JRMS:JIPDEC RISK Management System
        1. CMM:Capability Maturity Model, 能力成熟モデル
        2. COBIT　III
      7. CRAMM：CCTA RIsk Analysis Management Methology
        1. 定量的分析
        2. 定性的分析
        3. ①資産の識別と価値評価
          1. CRAMM質問表を用いて組織内の情報資産の分類と価値の評価を行う
        4. ②脅威と脆弱性の評価
          1. 各資産グループの脅威と脆弱性を５段階に評価
        5. ③対策の選択
      8. ALE：Annual Loss Exposure
        1. ALE = 10^(f + i - 3)/3
        2. i : 損失評価額レベル（金額/回）
        3. f: 発生頻度レベル（回/年）
    3. リスク対応
      1. リスクコントロール
        1. リスク回避
          1. リスクの要因そのものを排除する
        2. リスク移転
          1. 情報資産の管理、情報セキュリティ対策を外部に委託する
      2. リスクファイナンス
        1. リスク保有
          1. リスクによる損失を自社内の資金で対処する
        2. リスク移転
          1. 保険や契約によってリスクによる損失を外部に移転する
  3. PCI DSS:Payment Card Industry Data Security Standard
  4. プライバシーガイドライン
    1. OECDプライバシーガイドライン