- コンピュータ業界
- リスクアセスメントはリスク値の自動集計に拘ったロジックとしているため、現場の人の感覚と整合しない。特に、脅威・脆弱性を標準要素の有無・多少だけで算出しているので、現場固有の状況が反映できない。簡易ロジックは全体を俯瞰するには良いが、個々に手を打っていくためには脅威脆弱性を特定させることが必要。
- 内部監査による指摘が殆ど出ていない。有効性が低い。
- インシデント、弱点の収集も積極的にやっていない。
- 部署審査では部門長の応対が極めて少なく、ＩＳＭＳ（事務局）のポジション低下が窺える。
- 業務委託で入り込んでいる外部の人を適用範囲に入れていない。かと言ってインタフェースの管理策が出来ている訳でもない。穴が開いている可能性が高い。
- 時間にルーズな人が非常に多い。定刻に来る人は少なくバラバラ人が集まる。
- パソコンのセキュリティポリシーでＵＳＢを利用できないようにしている。
- やや時間にルーズ。
- 待ち合わせ場所などの事前確認などコミュニケーション取りにもやらない。
- 審査計画が初日の前々日まで出てこないのも論外。
