令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問19
テクノロジセキュリティ管理セキュリティ関連機関・評価認証制度
NIST “Cybersecurity Framework: 重要インフラのサイバーセキュリティを改善するためのフレームワーク（1.1版）”にある機能とカテゴリの組みのうち，対応しているものはどれか。
解答・解説
正解: イ. 機能: 識別
カテゴリ: リスクアセスメント
自組織は，組織の業務，組織の資産及び個人に対するサイバーセキュリティリスクを把握している。
NISTの「サイバーセキュリティフレームワーク（1.1版）」において定義されている「機能」と「カテゴリ」の対応を問う問題です。同フレームワークでは、サイバーセキュリティの活動を「識別（Identify）」「防御（Protect）」「検知（Detect）」「対応（Respond）」「復旧（Recover）」の5つのコア機能に分類しています。
識別機能の下位カテゴリである「リスクアセスメント」は、組織の業務、組織の資産及び個人に対するサイバーセキュリティリスクを把握するための活動として定義されています。したがって、正しい組み合わせはイとなります。
各選択肢の解説
- ア: 誤り。「データセキュリティ」カテゴリは、情報の機密性、完全性、可用性を保護するために管理する活動であり、「防御」機能に属します。
- イ: 正解。「リスクアセスメント」カテゴリは「識別」機能に属します。
- ウ: 誤り。「セキュリティの継続的なモニタリング」カテゴリは、サイバーセキュリティイベントを識別し、保護対策の有効性を検証するための活動であり、「検知」機能に属します。
- エ: 誤り。対応を確実にして復旧活動を支援するための「分析」カテゴリは、「対応」機能に属します。