# ベストプラクティス 5.4 – セキュリティコントロールの実装戦略を作成する
<a name="best-practice-5-4"></a>

データ分類に基づくビジネス要件を評価した後、より幅広い組織のセキュリティコントロールと、入手可能なアプリケーションガイドおよびオープン標準のバランスを取る戦略を作成します。実装の労力を考慮に入れ、リスクを確認します。

 **提案 5.4.1 - リスクを評価するためのマトリックスを特定する** 

 特定の業界や地域向けのさまざまなリスク管理フレームワークがあります。組織によって採用されたリスクフレームワークと、これを SAP ワークロードに関連するリスクの管理に適用する方法を理解します。 
+  AWSドキュメント: [リスクマトリックスの例](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/governance.html) 
+  AWSドキュメント: [Scaling a governance, risk, and compliance program for the cloud (ガバナンス、リスク、およびコンプライアンスプログラムのクラウド向けのスケーリング)](https://aws.amazon.com/blogs/security/scaling-a-governance-risk-and-compliance-program-for-the-cloud/) 
+  [NIST リスクマネジメントフレームワーク](https://www.nist.gov/cyberframework/risk-management-framework) 

 **提案 5.4.2 - 組織によって義務づけられているセキュリティおよびコンプライアンス要件を評価する** 

クラウドセンターオブエクセレンス、リーガルチーム、コンプライアンスチーム、およびマネージドサービスプロバイダーに相談して、セキュリティベースラインとコントロールの実施方法を理解します。これらのコントロールのすべてを SAP ワークロードに容易に適用できるかどうか、また、例えば、AWS サービスの許可リストと拒否リスト、インバウンドおよびアウトバウンドトラフィックフローとアクセス制限など、例外を必要とする分野を特定できるかどうかを評価します。

 **提案 5.4.3 - 例外プロセスを特定し、合意する** 

状況によっては、SAP 用のソフトウェア、ビジネス、またはサポート要件により、標準的なセキュリティパターンからの逸脱が必要になることがあります。例外について変更諮問委員会またはセキュリティ設計機関との合意と文書化が必要なプロセスを特定し、プロセスを定期的に再評価します。

 AWSドキュメント: [Change Management in the Cloud (クラウドにおける変更管理)](https://docs.aws.amazon.com/whitepapers/latest/change-management-in-the-cloud/change-management-in-the-cloud.html)