平成29年度春期 データベーススペシャリスト 午前Ⅱ 問20

役割を整理するための視点

CSIRTに関する選択肢を読むときは、名称や個別の作業だけで判断せず、組織内で何を目的に、どの範囲の責任を担う説明なのかを整理しましょう。説明の焦点が一貫しているかも確認します。

この問題で問われていること

一つの観点として、各説明が示す活動の目的と責任範囲が対応しているかを確認してください。担当主体や対象、関係者との境界を混同せず、説明全体の焦点を捉えることが重要です。

視点

役割を考える際は、活動の目的、責任を負う範囲、関係者との境界を分けて捉えます。用語の知名度ではなく、説明全体の焦点がどこに置かれているかを読み取りましょう。

確認ポイント

• 説明されている活動の目的と、担う責任の範囲が同じ方向を向いているか。
• 主体・対象・関係者の区別が保たれ、役割の境界が曖昧になっていないか。
• 個別の作業名に引きずられず、説明全体が示す役割の焦点を一貫して捉えられるか。

正解

イ

解説

CSIRTは、企業や行政機関などに設置され、コンピュータセキュリティインシデントへの対応を行う組織です。個人情報保護制度の認定機関、暗号技術の選定組織、政策調整機関とは役割が異なる。

理由

CSIRTはComputer Security Incident Response Teamの略で、コンピュータセキュリティインシデントが発生した際の検知、分析、連絡、調整、復旧支援などに対応する組織を指します。

比較

アは個人情報保護に関する認定制度、ウは暗号技術の評価・選定、エは政府のサイバーセキュリティ政策に関する総合調整を示す説明であり、インシデント対応組織であるCSIRTとは異なる。

選択肢ア

これは不正解だよ。記述されているのは、JIS Q 15001:2006に適合し、個人情報の保護体制を整備・運用する事業者などを認定する組織である。これは個人情報保護に関する制度の説明であり、セキュリティインシデントへの対応を行うCSIRTの説明ではない。

選択肢イ（正解）

これは正解だよ。CSIRTは、企業や行政機関などに設置され、コンピュータセキュリティインシデントが発生した場合に、情報収集、分析、関係者との連絡や対応調整などを行う組織である。選択肢はこの役割を適切に説明している。

選択肢ウ

これは不正解だよ。記述されているのは、電子政府で利用する暗号技術について、安全性や実装性などを評価し、採用候補を選定する組織の役割である。暗号技術の選定は、インシデント対応を担うCSIRTの役割ではない。

選択肢エ

これは不正解だよ。内閣官房に設置され、サイバーセキュリティ政策の総合調整や、サイバー空間の構築に向けた活動を行う組織の説明である。政府全体の政策調整を示しており、個別組織のインシデント対応を担うCSIRTとは異なる。

学習のポイント

CSIRTの目的と、関連する情報セキュリティ組織の役割の違いを整理する。