セキュリティマネジメントと関連制度(CSIRT・JVN・各種ガイドライン)

情報セキュリティマネジメントシステム(ISMS)は、JIS Q 27001(ISO/IEC 27001)の要求事項に基づき、組織が情報の機密性・完全性・可用性を計画的かつ継続的に維持する仕組みである。トップマネジメントのリーダーシップの下でリスクアセスメントを実施し、必要な管理策を附属書Aと比較して適用宣言書を作成する。ISO/IEC 27001:2022(JIS Q 27001:2023)への改訂で附属書Aの管理策は93項目に再編され、「組織的」「人的」「物理的」「技術的」の4テーマに分類された。日本にはISMS適合性評価制度があり、認定機関のISMS-AC(情報マネジメントシステム認定センター)が認証機関を認定し、認証機関が組織を審査・認証する。午前試験では、適用宣言書の位置付け、リスク所有者による残留リスク受容の承認、内部監査とマネジメントレビューの違いが繰り返し問われている。

リスクマネジメントの用語はJIS Q 31000(リスクマネジメント−指針)とJIS Q 27001で共通に出題される。リスクアセスメントは「リスク特定」「リスク分析」「リスク評価」の3プロセスで構成され、リスク特定でリスクを発見・認識し、リスク分析で結果の大きさと起こりやすさからリスクレベルを算定し、リスク評価でリスク基準と比較して対応の優先順位を決定する。リスク対応の選択肢には、リスクを生じさせる活動自体をやめる「リスク回避」、管理策により発生確率や影響を下げる「リスク低減(修正)」、保険や外部委託により第三者と分担する「リスク共有(移転)」、意思決定に基づき受け入れる「リスク保有」がある。対応後に残るリスクは残留リスクと呼ばれ、リスク所有者の承認を得て受容する。ベースラインアプローチ・詳細リスク分析・組合せアプローチという分析手法の使い分けも午前Ⅱの定番論点である。

CSIRT(Computer Security Incident Response Team)は、セキュリティインシデントの報告を受け付け、トリアージ、対応、再発防止を行う体制である。自組織を対象とする組織内CSIRTのほか、国の窓口となるナショナルCSIRTがあり、日本ではJPCERT/CC(JPCERTコーディネーションセンター)が国内のインシデント報告の受付、対応支援、注意喚起、海外CSIRTとの連携を担う調整機関(コーディネーションセンター)である。世界のCSIRTの連合体としてFIRST、国内の連絡組織として日本シーサート協議会(NCA)がある。インシデント対応は一般に「検知・連絡受付→トリアージ(対応の要否と優先順位の判断)→インシデントレスポンス→報告・事後レビュー」の流れで進め、NIST SP 800-61(コンピュータセキュリティインシデント対応ガイド)が参照される。常時監視を担うSOCと、対応の司令塔となるCSIRTの役割分担も問われやすい。

脆弱性関連情報の流通は、経済産業省告示「ソフトウエア製品等の脆弱性関連情報に関する取扱規程」に基づく「情報セキュリティ早期警戒パートナーシップ」で運用される。発見者は受付機関であるIPAに届け出て、調整機関であるJPCERT/CCが製品開発者との連絡・公表日の調整を行い、対策情報はJVN(Japan Vulnerability Notes)で公表される。JVNはJPCERT/CCとIPAが共同運営する脆弱性対策情報ポータルであり、対策情報を蓄積・検索できるデータベースとしてJVN iPediaがある。脆弱性の識別にはCVE、弱点の種類の分類にはCWE、深刻度の評価にはCVSSを用いる。CVSS v3は、脆弱性固有の特性を評価し時間や環境で変化しない「基本評価基準」、攻撃コードの流通状況など時間とともに変化する「現状評価基準」、利用者の環境に依存する「環境評価基準」の3基準で構成される(FIRSTが公開するv4.0では現状評価基準が脅威評価基準に再編された)。

製品や暗号モジュールを対象とする第三者評価・認証制度も頻出である。ITセキュリティ評価及び認証制度(JISEC)は、IT製品のセキュリティ機能の設計・実装の適切性を国際標準ISO/IEC 15408(コモンクライテリア)に基づいて評価機関が評価し、IPAが認証する制度で、保証の深さは評価保証レベル(EAL)で表す。暗号モジュール試験及び認証制度(JCMVP)は、暗号モジュールが承認されたセキュリティ機能を正しく実装しているかをISO/IEC 19790に基づき試験・認証する。電子政府で利用が推奨される暗号アルゴリズムはCRYPTREC暗号リストに整理されている。民間基準ではクレジットカード業界のPCI DSSが重要で、カード会員データを扱う事業者への技術・運用要件を定める。ISMS認証が「組織のマネジメント」を、JISECが「製品」を対象とするという対比で覚えると正誤判断が速い。

法制度とガイドラインでは、まずサイバーセキュリティ基本法(平成26年成立)が国のサイバーセキュリティ戦略の策定を定め、サイバーセキュリティ戦略本部と内閣サイバーセキュリティセンター(NISC)設置の根拠となった。2025年には能動的サイバー防御の導入を柱とするサイバー対処能力強化法および関連整備法が成立し、官民連携や通信情報の活用、アクセス・無害化措置が制度化された。経営層向けには経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」(Ver3.0、2023年)があり、経営者が認識すべき3原則と、CISO等に指示すべき重要10項目を示す。中小企業向けには「中小企業の情報セキュリティ対策ガイドライン」と自己宣言制度SECURITY ACTIONがある。また個人情報保護法は令和2年改正(2022年4月施行)で漏えい等の個人情報保護委員会への報告と本人通知が義務化されており、インシデント対応手順に組み込む必要がある。政府機関等にはNISCの統一基準群が適用される。

IPAの情報共有・支援の枠組みとして、標的型サイバー攻撃に関する情報をIPAをハブとして参加組織間で共有するJ-CSIP(サイバー情報共有イニシアティブ)、標的型攻撃の被害組織からの相談を受けて被害拡大防止を支援するJ-CRAT(サイバーレスキュー隊)、毎年公表される「情報セキュリティ10大脅威」がある。名称の類似した制度の取り違えを誘う出題が多いため、目的(共有か救援か)と運営主体を対で覚える。さらに本試験の資格制度である情報処理安全確保支援士(登録セキスペ)は、情報処理の促進に関する法律に基づく名称独占の国家資格であり、登録は3年ごとの更新制で、毎年のオンライン講習と3年ごとの実践講習の受講が義務付けられる。業務に関して知り得た秘密の保持義務は支援士でなくなった後も継続し、違反には罰則がある。制度群は「誰が運営し、何(組織・製品・人・情報)を対象とするか」を軸に整理するのが合格への近道である。