令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問8

午前II 問08：CSIRTの成熟度を見るSIM3を選ぼう

SIM3は、CSIRTがセキュリティインシデントにどれくらいうまく対応できるかを評価するための成熟度モデルだよ。たとえるなら、消防隊の出動体制や連携力をチェックする専用の評価表みたいなもの。CMMIはソフトウェア開発プロセス、SAMMはソフトウェアセキュリティ、CMMCは米国防総省関連のサイバーセキュリティ認証が主な対象なので、SIM3とは見ている相手が違うよ。

この問題で問われていること

この問題では、『CSIRT向けの成熟度モデルはどれ？』を見分けよう。似た名前の成熟度モデルが並んでいても、SIM3はCSIRTのインシデント対応力を評価するもの、と押さえれば判断しやすいよ。

SIM3

CSIRT の組織・人・ツール・プロセスの成熟を評価する。

Open CSIRT Foundation\n-> SIM3

確認ポイント

• CMMI は一般的プロセス成熟度モデルです。
• SAMM はソフトウェアセキュリティ成熟度モデルです。
• SIM3 を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

CMMCは不正解だよ。これは主に米国防総省の取引先などが、サイバーセキュリティ対策をどれくらい満たしているかを認証する仕組みなんだ。たとえるなら『この建物は防犯基準を満たしています』という証明書に近いよ。インシデント対応チームの成熟度を評価する専用モデルではないんだ。

選択肢イ

CMMIは不正解だよ。これは、会社や開発チームの仕事の進め方がどれくらい整っているかを見るためのモデルなんだ。たとえるなら、防犯そのものではなく『お店の接客や在庫管理の手順がちゃんとしているか』を点検するようなもの。セキュリティインシデント対応の成熟度を測るものではないよ。

選択肢ウ

SAMMは不正解だよ。SAMMは、ソフトウェア開発でセキュリティをどれくらい組み込めているかを見るためのモデルなんだ。たとえるなら、家を建てるときに『鍵や窓の強度を設計段階から考えているか』を確認するもの。事故や攻撃が起きた後の対応組織の成熟度を測るSIM3とは目的が違うよ。

選択肢エ（正解）

SIM3は正解だよ。SIM3は、CSIRTなどのセキュリティインシデント対応組織が、どれくらいきちんと運営・対応できているかを成熟度で見るモデルなんだ。たとえるなら、泥棒が入ったときに『誰が通報する？誰が現場を見る？再発防止はどうする？』まで、対応チームの動き方が整っているかをチェックする仕組みだよ。