「情報セキュリティポリシー」と「サイバーセキュリティ戦略」の違いは？

Question

「情報セキュリティポリシー」と「サイバーセキュリティ戦略」の違いは何ですか？

私はこれについて私の経営陣と議論しましたが、基本的に同じことだと考える人もいれば、ポリシーが戦略と異なることを強く主張する人もいました。

Answer 1

「情報セキュリティポリシー」と「サイバーセキュリティ戦略」の間には大きな違いがあります。名前が示すように、それらはそれぞれポリシーと戦略であり、経営者はしばしば両者の間で混乱します。ただし、以下の点が違いを説明するのに役立つと思います。

情報セキュリティポリシーは、次のような個別のドキュメントです。

1. ITセキュリティまたは情報セキュリティを構成する要素を列挙します。

2. ITセキュリティの必要性を説明する。

3. このポリシーの対象となるさまざまなタイプのITデータ、つまり機器やプロセスを分類します。

4. 組織の各メンバーが機能する可能性のあるさまざまな役割の情報セキュリティ責任を広義に示します。

5. 標準とガイドラインを通じて、適切なセキュリティレベルを示します。

サイバーセキュリティ戦略の構成要素はどこですか？

1. 情報セキュリティ方針

2. 情報機密ポリシー

3. インシデント対応および災害復旧計画

4. 変更管理手順

5. 構成基準

6. 組織がサイバーセキュリティの脅威/インシデントを予測/対応する方法に集合的に貢献する、より多くのポリシー、ガイドライン、標準など。

一部の要素が情報セキュリティポリシーで強調表示されることは理解していますが、全体像を見ると、すべてが網羅されているわけではありません。これがとにかく役立つことを願っています。

Answer 2

情報セキュリティは、人、プロセス、テクノロジーに及びます。クリーンデスクポリシー、物理的およびその他の側面を含む情報セキュリティのすべての側面を考慮します。サイバーは、数字の側面に焦点を当てた情報セキュリティのサブセットです。 2つを混ぜますが、違いがあります