附属書A解説

単に情報を集めるだけでなく、自社のシステムや業務にとってその脅威がどの程度関係あるのかを評価し、
必要な対策（パッチ適用、注意喚起、監視強化など）につなげることが求められます。
情報源としては、IPAやJPCERT/CCなどの公的機関が発信する注意喚起、セキュリティベンダーのレポートなどが実務上活用しやすいでしょう。
規模の小さい組織では、こうした公開情報を定期的にチェックする担当者を決めておくだけでも効果があります。
収集した脅威情報をただ蓄積するだけでなく、月次のセキュリティミーティングなどで共有し、必要に応じて社内のルールやシステム設定の見直しにつなげる運用が理想的です。
専任の担当者を置くことが難しい小規模組織では、情報収集の頻度や範囲を無理のない範囲に絞ることも現実的な対応です。