平成29年度春期 システム監査技術者 午前Ⅱ 問19

CSIRTの役割を考える視点

CSIRTに関する設問では、組織内で何を目的に、どの範囲の関係者と、どの段階の対応を担うのかを整理し、記述の対象と責任の境界を落ち着いて確認しましょう。慎重に整理します。

この問題で問われていること

一つの観点として、記述が示す活動の目的と責任範囲に注目してください。個別の作業名や表現の印象ではなく、誰に対して何を支える役割かを問題文に沿って丁寧に照合します。

視点

概念を整理するときは、活動の目的、関係者との役割分担、対応の範囲を分けて捉えます。そのうえで、設問の記述がどの範囲を説明しているかを丁寧に確認します。

確認ポイント

• 活動の目的と責任の範囲が、記述の中でどのように示されているか確認する。
• 組織内外の関係者との役割分担を、記述の対象と混同していないか確認する。
• 個別の手段や印象ではなく、設問が問う対象と説明の射程が一致しているか確認する。

正解

イ

解説

CSIRTは、企業や行政機関などに設置され、コンピュータセキュリティインシデントに対応する活動を行う組織です。したがって、該当する説明はイです。

理由

CSIRTの説明として公式画像で示されているのは、企業や行政機関などに設置され、コンピュータセキュリティインシデントに対応する活動を行う組織という内容です。この説明に一致するのがイです。

比較

アは個人情報保護体制を整備・運用する事業者などの認定、ウは電子政府の安全性などを考慮した暗号技術の選出、エは内閣官房におけるサイバーセキュリティ政策の総合調整を説明している。いずれもCSIRTの説明ではありません。

選択肢ア

これは不正解だよ。この選択肢は，JIS Q 15001:2006に適合し，個人情報について適切な保護措置を講じる体制を整備・運用している事業者などを認定する組織を説明している。CSIRTの説明である，企業や行政機関などに設置され，コンピュータセキュリティインシデントに対応する活動を行う組織とは役割が異なる。

選択肢イ（正解）

これは正解だよ。この選択肢は，企業や行政機関などに設置され，コンピュータセキュリティインシデントに対応する活動を行う組織を説明している。これは公式画像に示されたCSIRTの説明と一致するため，適切である。

選択肢ウ

これは不正解だよ。この選択肢は，電子政府のセキュリティを確保するために，安全性及び実装性に優れると判断される暗号技術を選出する組織を説明している。暗号技術の選出は，コンピュータセキュリティインシデントに対応するCSIRTの役割とは異なる。

選択肢エ

これは不正解だよ。この選択肢は，内閣官房に設置され，サイバーセキュリティ政策に関する総合調整を行い，サイバー空間の構築に向けた活動を行う組織を説明している。政策の総合調整を担う組織であり，CSIRTの説明とは一致しない。

学習のポイント

CSIRTと、個人情報保護・暗号技術・政策調整に関わる組織の役割を区別する。