令和2年度10月 システム監査技術者 午前Ⅱ 問20

策定目的と文書の役割を見極める

国などが公表する対策の枠組みを学ぶときは、個々の項目を覚える前に、誰に向けて、どんな課題を解決するために作られたのかを捉えることが大切です。目的を軸に整理すると、似た文書同士の違いも考えやすくなります。

この問題で問われていること

この種の問題では、ある枠組みが『何のために作られたか』という策定の意図と、『何が書かれているか』という内容や手段を混同しないことが要点です。目的を問われているのか、構成を問われているのかを意識して考えましょう。

視点

公的な枠組みや指針には、それぞれ作られた背景があります。背景とは、社会や組織が抱えていた課題、想定している利用者、期待される効果などです。一方で、文書に並ぶ具体的な項目や手順は、その目的を実現するための手段です。学習の際は『背景・目的』と『内容・手段』を分けて整理すると、策定の狙いを問う場面で、手段の説明に引きずられにくくなります。

確認ポイント

• その枠組みが作られる前に、どのような課題や背景があったと考えられるかを確認する
• 主な利用者として想定されている立場（経営層、担当者、組織全体など）は誰かを確認する
• 考えている内容が『策定の目的』なのか、『目的を達成するための手段や構成』なのかを区別できているかを確認する

正解

イ

解説

サイバー・フィジカル・セキュリティ対策フレームワークは、新たな産業社会で価値創造活動が直面するリスクを捉えるモデルを構築し、必要なセキュリティ対策の全体像を整理することを目的の一つとします。

理由

このフレームワークは、サイバー空間とフィジカル空間が相互に関係する新たな産業社会を前提に、付加価値を生み出す活動が直面するリスクを適切に把握するためのモデルを示します。その上で、必要となるセキュリティ対策を全体的に整理します。

比較

他の選択肢は、テレワーク、クラウドサービス、データセンタという特定分野のセキュリティ指針や知見を説明したものです。これらは個別の対象に関する内容であり、産業社会全体のリスクをモデル化して対策の全体像を整理するという本フレームワークの主目的とは一致しません。

選択肢ア

これは不正解だよ。テレワークの形態や、それに応じた情報セキュリティ対策を示す内容であり、在宅勤務など特定の働き方を対象とする指針に当たります。新たな産業社会で価値創造活動が直面するリスクをモデル化し、対策全体を整理する目的とは対象範囲が異なります。

選択肢イ（正解）

これは正解だよ。新たな産業社会で付加価値を創造する活動が直面するリスクを適切に捉えるためのモデルを構築し、必要なセキュリティ対策の全体像を整理するという説明は、サイバー・フィジカル・セキュリティ対策フレームワークの主な目的と一致します。

選択肢ウ

これは不正解だよ。クラウドサービスの利用者と提供者が連携しやすいよう、利用者向けと提供者向けの手引を対にして記述する内容です。クラウド利用に焦点を当てた実施手引の説明であり、産業社会全体のリスクを捉えるモデルの構築とは異なります。

選択肢エ

これは不正解だよ。データセンタの利用者と事業者に対し、適切なセキュリティの考え方や共有すべき知見を提供する内容です。データセンタという特定施設を対象とした説明であり、新たな産業社会におけるリスクと対策全体を整理する目的ではありません。

学習のポイント

サイバー空間とフィジカル空間が融合する社会のリスク整理