IPA セキュリティ関連機関・評価認証制度 — 頻出論点と過去問

頻出論点

1. この分野は何か

国内の情報セキュリティの仕組みには、事故の相談を受ける窓口、攻撃の情報を持ち寄る場、守り方の手本になる指針、安全性を外から確かめて示す認証があり、それぞれ運営する主体と相手が決まっています。略称の似たものが多いので、誰が、誰に対して、何をするかで見分けます。

2. 実際の出題のされ方

制度や機関の名前と役割を結びつける問いが基本です。ITパスポートの問題は、カード会員のデータを守るための業界の基準を選ぶもの、SECURITY ACTIONやJ-CRATについて適切な記述を選ぶもの、クラウドに対応したISMSの規格や認証に当たるものを選ぶものなどです。経営者がサイバーセキュリティ対策で果たす役割を選ぶ問題もあります。

JPCERTコーディネーションセンターについては、その説明を選ぶ問題と、組織のCSIRT作りを支えるために作った資料を選ぶ問題が、応用情報技術者の午前にあります。同じ区分には、脆弱性を通知された製品開発者の対応として適切なもの、サイバーセキュリティ経営ガイドラインの説明、IoTセキュリティガイドラインが出荷後の安全のために挙げる対策例を選ぶ問題もあります。

ISMAPについては、ISMAP管理基準が基礎とする文書、管理基準を構成する基準、ISMAP-LIUの対象を選ぶ問題が、情報処理安全確保支援士とITストラテジストの午前IIに出ています。この二つの区分では、CRYPTRECの活動や暗号リストの説明、NOTICEの説明、IT製品の評価結果を比べられるようにする規格を選ぶ問題もあります。

JISECの対象範囲やJ-CSIPの説明、NISTのサイバーセキュリティフレームワークの機能とカテゴリの対応、JIS Q 27002:2024のサイバーセキュリティ概念の属性値を選ぶ問題は、システム監査技術者とシステムアーキテクトの午前IIに含まれます。

3. 学習のポイント

国内の機関と取組は、誰が運営し、誰を相手に何をするかで並べます。

• NISCとJPCERT/CC: NISCは、出題当時に政府全体の方針をまとめていた国の司令塔で、2025年7月からはその役割が国家サイバー統括室に移っています。JPCERT/CCはインシデントの報告を受けて関係者の間を調整する民間の窓口です。脆弱性の届出の制度では、届出を受けるのがIPA、製品開発者とのやり取りを受け持つのがJPCERT/CCです。
• J-CSIP・J-CRAT・CRYPTREC: J-CSIPは参加する組織どうしで攻撃の情報を持ち寄る場で、J-CRATは相談してきた組織を個別に支える活動です。CRYPTRECは、政府が使う暗号の安全性を見守るプロジェクトです。

評価・認証制度と業界基準は、評価の対象と審査の方法（第三者が審査するか、自ら宣言するか）の違いで分かれます。

• ISMSクラウドセキュリティ認証: ISMSの認証に、クラウドならではの管理策を上乗せして確かめる認証で、サービスを提供する側も利用する側も受けられます。
• ISMAPとISMAP-LIU: ISMAPは、政府機関がクラウドサービスを調達するときの安全性の物差しで、監査を経て基準を満たすと確かめられたサービスがリストに載ります。管理基準は、日本セキュリティ監査協会のクラウド情報セキュリティ管理基準を土台にしています。ISMAP-LIUは、扱う業務や情報のリスクが小さいSaaSに向けた枠組みです。
• JISECとISO/IEC 15408: JISECは、IT製品が備える守りの機能を第三者が評価して認証する制度で、評価の基準となる国際規格がISO/IEC 15408です。
• PCI DSSとSECURITY ACTION: PCI DSSはカード会員のデータを扱う事業者が守る業界の基準で、SECURITY ACTIONは中小企業などが自ら対策に取り組むと宣言する制度です。制度の種類としては、ISMSやJISECのような第三者が審査する認証制度と、SECURITY ACTIONのような自己宣言制度を区別します。

ガイドラインとフレームワークは、構成の骨格を確認しておきます。

• サイバーセキュリティ経営ガイドラインとIoTセキュリティガイドライン: サイバーセキュリティ経営ガイドラインは、対策を経営の課題として扱い、経営者が知っておく原則と、担当の幹部に指示する項目を示した指針です。IoTセキュリティガイドラインは、機器を出荷した後も更新によって安全を保つことを対策の一つに挙げています。
• NIST CSFとJIS Q 27002:2024: 米国NISTのサイバーセキュリティフレームワーク（CSF）1.1版のコア機能と、JIS Q 27002:2024のサイバーセキュリティ概念の属性値は、いずれも識別（Identify）・防御（Protect）・検知（Detect）・対応（Respond）・復旧（Recover）の5つで構成されます。さらにNIST CSF 2.0では、これら5つに組織全体の戦略や方針を統括するGOVERN（統治）が加わり、6つの機能となっています。

4. 間違えやすいところ

ISMAP管理基準が、ガバナンス・マネジメント・管理策・監査の四つの基準から成るとする誤答肢がありました。管理基準を構成するのは、このうち監査基準を除いた三つです。

JISECについて、「ファイアウォールのように，セキュリティ機能に特化したIT製品だけが制度の対象である」とする誤答肢がありました。専用の製品に限る決まりはなく、セキュリティ機能を持つ一般のIT製品も評価を受けられます。

NOTICEの説明として、依頼を受けた企業の社内網にあるWebサービスをNICTが診断するとした誤答肢がありました。依頼を受けて社内網の中を調べるのは個々の企業が頼む診断の形で、インターネット側から機器を調べるNOTICEとは対象が違います。