セキュリティ
システムセキュリティ計画書（SSP）
System Security Plan
読み：しすてむせきゅりてぃけいかくしょ
システムの境界や利用環境を示し、適用するセキュリティ管理策と実装の考え方を記述する文書です。
01初心者向け
まず意味をつかむ
同じシステムでも、クラウド事業者が守る部分と利用企業が守る部分があります。どこで何を誰が守るかを文書にします。
02実務者向け
仕事でどう使うか
対象機器、処理する情報、接続先を特定し、管理策ごとに担当と実装状況を記録します。共通基盤から引き継ぐ対策と固有の実装も区別します。
03専門家向け
判断を一段深める
計画の記述は対策が有効に働いた証拠とは異なります。境界や委託先の変更に合わせて記述を更新し、評価対象の構成版と一致させます。
IN PRACTICE
具体例で考える
架空の文書共有サービスで、基盤の物理保護は共通部門の担当、利用者の権限審査は案件チームの担当として記載します。
理解を助けるための架空の例です。システム境界
管理策の実装
運用する責任者
実装状況と境界を同じ文書で追えるようにします。
ここは誤解しやすい
ひな形を埋めるだけで、実際のデータ経路や実装と食い違う状態を放置しないようにします。
この知識を、組織の力へ。