令和3年度秋期 システム監査技術者 午前Ⅱ 問19

機能とカテゴリを整理する視点

対応関係を単なる暗記として判断するのではなく、各項目が示す目的と、組織のサイバーセキュリティ活動のどの段階に関係するかを照らし合わせ、全体の構造から考えましょう。

この問題で問われていること

一つの対応を選ぶ前に、提示された機能名とカテゴリ名がそれぞれ担う役割の抽象度をそろえ、活動の目的と具体的な実践内容のどちらを表しているか、さらに両者の関係が自然かに注目してください。

視点

機能は活動全体を捉える大きな目的、カテゴリはその目的に結び付く検討領域として読む、というように、名称の細部ではなく役割の階層を確認します。

確認ポイント

• 名称の意味だけでなく、項目が表す役割の大きさを確認する
• 目的を表す項目か、実践や管理の対象を表す項目かを区別する
• 一つの語の印象ではなく、活動全体の流れとの整合性を考える

正解

イ

解説

NIST Cybersecurity Framework 1.1では、識別、防御、検知、対応、復旧の各機能に、それぞれ対応するカテゴリが定義されている。選択肢の記述内容とカテゴリの役割を照合すると、リスクアセスメントにより組織の業務・資産・個人へのサイバーセキュリティリスクを把握する組合せが適切です。

理由

リスクアセスメントは、組織の業務、資産及び個人に対するサイバーセキュリティリスクを把握する活動であり、識別機能に位置付けられる。したがって、この機能とカテゴリの組合せは設問の定義に対応している。

比較

他の記述は、文章が示す活動内容と機能の対応がずれている。情報や記録の管理はデータセキュリティ、イベントの識別や有効性検証のための監視は検知、効果的な対応や復旧活動の支援に関する分析は対応に関係する。

選択肢ア

これは不正解だよ。情報と記録を機密性・完全性・可用性の保護方針に従って管理する記述は、データセキュリティに関する活動である。設問で示された機能の「検知」は、サイバーセキュリティイベントを発見する側の機能であり、このカテゴリとの組合せは対応しない。

選択肢イ（正解）

これは正解だよ。組織の業務、資産及び個人に対するサイバーセキュリティリスクを把握する活動は、リスクアセスメントに該当する。リスクを理解し、管理上の判断に必要な情報を得る内容なので、NISTフレームワークの識別機能との組合せに対応している。

選択肢ウ

これは不正解だよ。情報システムと資産を監視し、サイバーセキュリティイベントを識別して保護対策の有効性を検証する記述は、セキュリティの継続的なモニタリングに関する活動である。このカテゴリは検知に関係し、対応機能との組合せにはならない。

選択肢エ

これは不正解だよ。効果的な対応を確実にし、復旧活動を支援するために分析を実施する記述は、対応機能に関する内容である。設問のカテゴリ「分析」はこの活動内容と結び付くが、機能として示された防御とは対応せず、組合せが誤っている。

学習のポイント

機能名だけで判断せず、カテゴリが示す活動内容まで対応付けて覚える。