セキュリティ
セキュリティ評価報告書（SAR）
Security Assessment Report
読み：せきゅりてぃひょうかほうこくしょ
セキュリティ管理策の評価で確認した事実、判定、発見事項、リスクをまとめた文書です。
01初心者向け
まず意味をつかむ
対策の一覧を眺めるだけでは、それが働くかは分かりません。評価でどの設定や記録を見て、何が分かったかを関係者に伝えます。
02実務者向け
仕事でどう使うか
対象範囲と構成版、評価方法、証拠への参照、判定理由、未達項目を整理します。評価対象外や十分な証拠を得られなかった範囲も明記します。
03専門家向け
判断を一段深める
発見事項の分類は、影響や不確実性と合わせて読みます。報告書は技術的な評価結果を示し、運用を認可する権限者の判断には改善計画や残留リスクの情報も必要です。
IN PRACTICE
具体例で考える
架空の社内ポータルの評価で、停止したアカウントに一部権限が残ると判明しました。報告書に検証条件と再評価の対象を記載します。
理解を助けるための架空の例です。評価範囲と方法
証拠と判定
残課題と推奨措置
所見を是正と運用判断へ引き継ぎます。
ここは誤解しやすい
対象範囲の制約を書かずに合格だけを示すと、利用者が評価済みの範囲を広く誤認します。
この知識を、組織の力へ。