セキュリティ
セキュリティ評価計画書（SAP）
Security Assessment Plan
読み：せきゅりてぃひょうかけいかくしょ
評価するセキュリティ管理策と、確認方法、証拠、担当者、実施条件を定める文書です。
01初心者向け
まず意味をつかむ
対策を調べる前に、どの設定や記録を見るか、実際に動作を試すかを決めることで、関係者の認識をそろえます。
02実務者向け
仕事でどう使うか
対象とする構成と管理策を特定し、文書確認、担当者への質問、動作確認を使い分けます。評価用の権限、作業日程、サービスへの影響も確認します。
03専門家向け
判断を一段深める
既存の評価結果を使うときは、その対象と実施時点を今回の構成と照合します。独立性や必要な証拠の深さは組織のリスクや適用する評価方針に応じて決めます。
IN PRACTICE
具体例で考える
架空の在庫システムで権限付与を調べるため、申請記録の閲覧と、許可のない操作が拒否されるかのテストを計画します。
理解を助けるための架空の例です。対象の管理策
確認方法と証拠
担当と実施条件
試験の実行前に評価の成立条件を合わせます。
ここは誤解しやすい
テスト日だけを押さえても、必要な権限や証拠の提供者が決まっていなければ評価が止まります。
この知識を、組織の力へ。