平成29年度春期 プロジェクトマネージャ 午前Ⅱ 問24

組織の立場と活動範囲で区別する

セキュリティ関連の組織は名称が似ていても、設置主体や対象とする範囲、担う活動の種類が異なります。名称の印象だけで判断せず、その組織が誰のために何をする立場なのかという一つの観点に絞って整理すると区別しやすくなります。

この問題で問われていること

問われているのは個々の組織名を暗記しているかよりも、名称と役割の対応が実態に合っているかを見極める力です。各組織について、誰に向けて活動しているのかを自分の言葉で言い直し、提示された内容と照らし合わせることが検討の中心になります。

視点

組織の役割を整理するときは、名称の響きや略称の文字から連想するのではなく、その組織が誰のために何をする立場なのかを起点に考えます。たとえば、ある組織の活動が特定の利用者層に向いているのか、より広い範囲に向いているのかを意識すると、似た名前の組織どうしでも立場の違いが見えてきます。一つの組織について言い直した説明が、提示された内容と矛盾しないかを一つずつ確かめる姿勢が大切です。

確認ポイント

• その組織が誰に向けて活動しているのかを、名称から連想せずに自分の言葉で説明できるか確認する
• 提示された役割の説明が、その組織の立場と食い違っていないかを照らし合わせる
• 似た名称の組織について、活動の対象となる相手の違いを意識して区別できているか見直す

正解

イ

解説

CSIRTは、企業や行政機関などに設置され、コンピュータセキュリティインシデントが発生した際に、調査、連絡、分析、復旧などの対応活動を行う組織を指します。したがって適切なのはイです。

理由

CSIRTはComputer Security Incident Response Teamの略称であり、コンピュータセキュリティインシデントへの対応を行う組織です。企業や行政機関などに設置され、インシデント対応を中心に活動するというイの説明が定義に合う。

比較

アは個人情報保護の体制を整備・運用する事業者などを認定する組織、ウは電子政府で利用する暗号技術を選出する組織、エは内閣官房に設置されサイバーセキュリティ政策を総合調整する組織の説明であり、CSIRTの説明ではありません。

選択肢ア

これは不正解だよ。記述されているのは，JIS Q 15001:2006に適合し，個人情報について適切な保護措置を講じる体制を整備・運用している事業者などを認定する組織である。個人情報保護の認定に関する説明であり，セキュリティインシデントへの対応組織を表すCSIRTとは異なる。

選択肢イ（正解）

これは正解だよ。CSIRTは，企業や行政機関などに設置され，コンピュータセキュリティインシデントに対応する活動を行う組織である。選択肢は，設置される主体と，インシデント対応を担うという活動内容をともに正しく説明している。

選択肢ウ

これは不正解だよ。記述されているのは，電子政府のセキュリティを確保するため，安全性及び実装性に優れると判断される暗号技術を選出する組織である。暗号技術の評価・選出に関する説明であり，インシデント対応を行うCSIRTの説明ではない。

選択肢エ

これは不正解だよ。記述されているのは，内閣官房に設置され，サイバーセキュリティ政策に関する総合調整を行い，サイバー空間の構築に向けた活動を行う組織である。政策の総合調整を担う組織の説明であり，CSIRTの役割とは異なる。

学習のポイント

CSIRTと、個人情報保護、暗号技術選定、サイバーセキュリティ政策を担う組織を活動目的で区別する。