平成28年度春期 情報処理安全確保支援士 午前Ⅱ 問10

午前II 問10

J-CSIPは、ざっくり言うと「怪しい攻撃を見つけたら、みんなで情報を持ち寄って守りを強くしよう」という仕組みだよ。暗号のリストを作ったり、認証制度を運用したり、脆弱性の公表手順を決めたりするものではなく、参加組織とIPAの間で標的型攻撃などの情報を共有して、被害を防ぐ力を高めるための枠組みなんだ。

この問題で問われていること

略称だけを見ると制度や標準化活動っぽく見えるけれど、J-CSIPは「攻撃情報を共有する取り組み」だと見抜けるかがポイントだよ。たとえるなら、防犯マップを近所同士で共有して、次の被害を防ごうとするイメージで押さえよう。

J-CSIP Overview

J-CSIP is an information-sharing initiative that aggregates cyberattack indicators and findings to improve defense against advanced threats

share detected attack information\nconnect organizations and public body\nimprove advanced-attack response

確認ポイント

• 情報共有の取組みと見る。
• CRYPTREC や JVN と混同しない。
• 高度攻撃対策につながる枠組みを押さえる。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これはCRYPTRECの説明だよ。J-CSIPは攻撃情報の共有がテーマだけど、これは『どの暗号なら政府調達で安心して使えるか』を調べてリスト化する取組み。合鍵の種類を調べて『この鍵なら丈夫だよ』とカタログに載せる係、という感じだね。

選択肢イ（正解）

これが正解だよ。J-CSIPは、標的型攻撃などのサイバー攻撃情報をIPAなどの窓口に集め、参加組織で共有して対策に役立てる取組みなんだ。町内で泥棒の手口を交番に集めて、みんなに『最近こういう侵入があるから気を付けよう』と知らせるようなイメージだよ。

選択肢ウ

これは不正解だよ。これはCSMS認証の説明だよ。工場や発電所のような制御システムで、セキュリティ管理の仕組みがちゃんとしているかを認証する制度なんだ。J-CSIPのように攻撃情報を集めて共有する話ではなく、『この施設の防犯ルールは合格です』とチェックする仕組みだよ。

選択肢エ

これは不正解だよ。これはJ-CSIPではなく、脆弱性を見つけた人、製品を作った会社、窓口機関が『見つけた穴をいつどう直して公表するか』を進める手順の説明だよ。家の窓に壊れた鍵を見つけたとき、泥棒に知られる前に大家さんへ伝えて直してから知らせる流れ、というイメージだね。