令和3年度春期 情報処理安全確保支援士 午前Ⅰ 問14

JPCERT/CCはサイバー事故の“相談窓口”だよ

JPCERT/CCは、政府機関や企業そのものではなく、中立的な立場でサイバー攻撃や情報漏えいなどのインシデント対応を支援する組織だよ。たとえるなら、ネットの世界で事故が起きたときに、原因調査や注意喚起を手伝ってくれる“救急相談センター”のような存在だね。

この問題で問われていること

ポイントは、JPCERT/CCをCRYPTRECや内閣官房系の組織と混同しないことだよ。CRYPTRECは暗号技術の評価・推奨が中心、内閣官房系の組織は政府全体のサイバー政策や司令塔の役割が中心。JPCERT/CCは、現場のインシデント対応支援や脆弱性情報の発信を行う組織、と整理しよう。

JPCERT/CC

independent coordination center for incident response support in Japan

receive reports\nsupport response\nanalyze incidents

確認ポイント

• 標準化審議会ではありません。
• 暗号評価プロジェクトでもない。
• 独立した対応支援組織です。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

正解だよ。これは「サイバーセキュリティ経営ガイドライン」の説明そのもの。会社を家に例えると、社長が「泥棒対策は担当者に任せきりでいいや」ではなく、「玄関、窓、合鍵の管理まで方針を出そう」と考えるための手引きなんだ。経営者が知るべき3原則と、CISOなどに指示する重要10項目をまとめているよ。

選択肢イ

不正解だよ。これはISMS、つまり情報セキュリティマネジメントシステムの説明に近いよ。家の中の大事な物を「誰が見られるか」「壊れないか」「必要な時に使えるか」と管理して、定期的に見直す仕組みの話なんだ。今回のガイドラインは、もっと経営者向けに「会社全体の防犯方針をどう出すか」を示すものだよ。

選択肢ウ（正解）

不正解だよ。これはCOBITの説明だよ。COBITは、会社のITをうまく統制・管理するための大きな管理表みたいなもの。店長が店全体の業務マニュアルを整えるイメージだね。今回のテーマはサイバー攻撃から会社を守るために経営者が何を認識し、何を指示するかなので、COBITとは対象が少し違うよ。

選択肢エ

不正解だよ。公式の選択肢エは、サイバーセキュリティ基本法のような「国としてサイバーセキュリティをどう進めるか」という法律寄りの説明だよ。今回聞かれているのは、会社の経営者向けに「泥棒対策をどう指示するか」をまとめたガイドラインなので、国の責務を定める話とは方向が違うんだ。