令和6年度春期 システムアーキテクト 午前Ⅱ 問20

評価・認証制度の対象を見極める

セキュリティ関連の評価・認証制度は、何を対象に、どの観点で確認するのかが制度ごとに異なります。制度の目的と対象範囲に整合しているかという一つの観点に絞り、問われている内容を落ち着いて照らし合わせましょう。

この問題で問われていること

この分野の問題では、制度が何を評価対象とし、その結果が誰に対して何を示すものなのかを把握することが要になります。用語の響きではなく、制度の目的から対象範囲を考える姿勢を確認します。

視点

評価・認証の仕組みは、それぞれ特定の目的のために設計されています。目的が決まると、確認する対象の範囲もおのずと決まります。名称が似た制度や一般的なセキュリティ対策と混同しないよう、『この制度は何を確かめるために存在するのか』という一点を起点にしてください。そのうえで、問われている内容が制度の範囲内に収まっているかを考えると整理しやすくなります。

確認ポイント

• その制度が何を確かめるために設けられたのかを、自分の言葉で説明できるか
• 問われている内容が、制度の目的から見て対象範囲の内側にあるか外側にあるか
• 名称や用語が似ている別の仕組みと混同していないか

正解

エ

解説

JISECは、保護すべき資産、対抗すべき脅威、適用すべき環境を具体化できるIT製品を対象とする。特定の機能分野やソフトウェアだけに限定されない。

理由

適切なのはエです。JISECの対象は、保護すべき資産、対抗すべき脅威、適用すべき環境を具体化できるIT製品です。この条件に該当するかどうかが重要であり、製品が特定の機能だけを持つか、ソフトウェアだけで構成されるかによって一律に決まるものではありません。

比較

アは、利用者ガイダンスや管理者ガイダンスを除いた部分だけを評価用提供物件とする点が誤りです。イはハードウェア、ファームウェア、システムを対象外としており誤り、ウはファイアウォールのようなセキュリティ特化製品だけに限定しており誤りです。

選択肢ア

これは不正解だよ。利用者ガイダンスや管理者ガイダンスを除いた部分だけが評価用提供物件になるわけではない。これらのガイダンスもIT製品に関係する評価用の提供物件に含まれ得るため、両ガイダンスを一律に除外する説明は誤りである。

選択肢イ

これは不正解だよ。JISECの対象をソフトウェアだけに限定することはできない。ハードウェア、ファームウェア、システムなどを含むIT製品についても、保護対象や脅威、適用環境を具体化して評価できる場合があるため、三者を制度の対象外とする説明は誤りである。

選択肢ウ

これは不正解だよ。制度の対象は、ファイアウォールのようにセキュリティ機能へ特化したIT製品だけではない。保護すべき資産、対抗すべき脅威、適用すべき環境を具体化できるIT製品であれば、セキュリティ専用製品に限られないため、この限定は誤りである。

選択肢エ（正解）

これは正解だよ。JISECの対象となるのは、保護するべき資産、対抗すべき脅威、適用すべき環境を具体化できるIT製品である。対象をソフトウェアやセキュリティ専用製品に限定せず、評価の前提を具体的に定められることを条件としているため、適切な記述である。

学習のポイント

JISECの評価対象と評価用提供物件の範囲を正しく整理する。