令和5年度秋期 システム監査技術者 午前Ⅱ 問18

制度の目的と役割を整理する視点

制度を理解するときは、個別の用語や細かな手続だけでなく、誰が何のために情報を扱い、関係者間でどのような価値を生む仕組みなのかを全体の流れで丁寧に捉えましょう。

この問題で問われていること

確認する観点を、制度が解決しようとする課題と、情報を共有する関係者に生じる役割のつながりに絞り、説明が目的・主体・効果の関係として一貫しているかを読み取ってください。

視点

制度の説明を、背景にある課題、関係する主体、情報を扱う目的、期待される効果という順に整理すると、個々の記述が全体の中でどの役割を持つかを落ち着いて確認できます。

確認ポイント

• 制度が対象とする課題と、目指す方向が結び付いているか確認する
• 情報を扱う主体と、それぞれに期待される役割の関係を確認する
• 説明される効果が、制度の目的から自然に導かれる内容か確認する

正解

イ

解説

J-CSIPは、検知したサイバー攻撃に関する情報を公的機関に集約し、高度なサイバー攻撃対策につなげていく取組です。

理由

設問は、J-CSIPがどのような情報を集め、どのような対策に結び付ける取組かを問うている。攻撃情報の集約と対策への活用を述べた選択肢が該当する。

比較

他の選択肢は、暗号技術の調査とリスト公表、制御システムの認証制度、脆弱性情報の発見から公表までのプロセスを説明しており、設問の取組とは対象や目的が異なる。

選択肢ア

これは不正解だよ。暗号技術を調査し、電子政府の調達で参照する暗号のリストを公表するプロジェクトの説明である。サイバー攻撃の検知情報を集約して対策につなげるJ-CSIPの説明とは、扱う情報と目的が異なる。

選択肢イ（正解）

これは正解だよ。検知したサイバー攻撃の情報を公的機関に集約し、その情報を高度なサイバー攻撃対策につなげていく取組である。情報共有の対象と、共有後に目指す対策がJ-CSIPの説明と一致している。

選択肢ウ

これは不正解だよ。制御システムにおけるセキュリティマネジメントシステムの認証制度を説明している。認証の仕組みに関する内容であり、検知したサイバー攻撃情報を公的機関に集約するJ-CSIPとは対象が異なる。

選択肢エ

これは不正解だよ。脆弱性関連情報を発見してから公表するまでの対処プロセスを説明している。脆弱性情報の処理手順を示す内容であり、サイバー攻撃の検知情報を集約して対策に活用するJ-CSIPとは異なる。

学習のポイント

情報セキュリティの制度名と、その対象・目的を対応付けて覚える。