令和4年度春期 情報処理安全確保支援士 午前Ⅱ 問7

SECURITY ACTIONは“うちはセキュリティ対策に取り組みます”という自己宣言だよ

SECURITY ACTIONは、中小企業などがIPAのガイドラインを参考にして、情報セキュリティ対策に取り組むことを自分たちで宣言する制度だよ。たとえるなら、お店が『衛生管理をちゃんとやります』と看板を掲げるようなもの。第三者が厳しく審査して認証する制度ではなく、“まず自分たちで取り組む姿勢を示す”ところがポイントだよ。

この問題で問われていること

この問題では、SECURITY ACTIONと、ISMS適合性評価制度、製品の安全性を評価する制度、脆弱性情報を確認できるMyJVNをきちんと区別できるかが問われているよ。つまり、『組織の自己宣言なのか』『第三者認証なのか』『製品評価なのか』『脆弱性情報の確認サービスなのか』を見分けよう、という問題だね。

SECURITY ACTION

第三者認証ではなく、まず自社の取組を宣言して底上げする制度として位置付けられている。

中小企業の自己宣言\n-> SECURITY ACTION

確認ポイント

• ISMS 適合性評価制度は認証制度です。
• MyJVN は脆弱性情報サービスです。
• SECURITY ACTION を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ISMS適合性評価制度は、会社全体の情報セキュリティの管理体制がルールに合っているかを第三者が審査する制度なんだ。たとえるなら、家の防犯ルールを専門家に点検してもらって合格証をもらうようなもの。中小企業が自分で宣言するSECURITY ACTIONとは違うよ。

選択肢イ

これは不正解だよ。ITセキュリティ評価及び認証制度は、IT製品のセキュリティ機能がちゃんとしているかを評価・認証する制度なんだ。たとえるなら、防犯カメラそのものが本当に役に立つ製品かを専門機関がチェックする感じ。会社の取り組みを自己宣言する制度ではないよ。

選択肢ウ

これは不正解だよ。MyJVNは、ソフトウェアの弱点情報を調べたり、自分のPCのソフトが古くないか確認したりするための仕組みなんだ。たとえるなら「この鍵は古くて危ないですよ」と教えてくれる掲示板や点検ツールみたいなもの。会社がセキュリティ対策に取り組むと宣言する制度ではないよ。

選択肢エ（正解）

これは正解だよ。SECURITY ACTIONは、中小企業が「うちはセキュリティ対策に取り組みます」と自分で宣言する制度なんだ。お店でいうと「防犯チェックを始めました」と入口に表示する感じで、第三者に細かく審査してもらう制度ではなく、まず自分で取り組みを見える化する仕組みだよ。