情報セキュリティ管理

要点と定義

情報セキュリティ管理では、情報資産を守るための方針や管理策を組織で継続して運用します。資産の保護、担当者の役割、インシデントへの備え、事業継続を結び付けて考えます。

CSIRTは、企業や行政機関などでセキュリティインシデントへの対応を担う組織です。過去の出題で扱った補足として、JPCERT/CCは国内のインシデントの報告受付、対応支援、分析や助言を行う組織として問われました。J-CRATは、標的型攻撃の被害が疑われる組織などを支援し、攻撃や被害の分析、対策の早期着手を支援する役割として問われました。組織内の対応、広く報告を受ける支援、被害組織への支援という手掛かりで区別します。

インシデントハンドリングでは、事象の検知や連絡受付の後、トリアージで情報を評価・整理し、その判断を踏まえて対応に移ります。トリアージは受付後の評価段階であり、対応そのものではありません。この順序を知っていると、各段階を適切に並べられます。過去の出題で扱った補足です。

サイバーセキュリティ経営ガイドラインは、経営者の認識や、対策を担う幹部への指示に関する指針です。過去の出題で扱った補足として、Ver.1.1の問題では経営者が認識すべき原則と担当幹部への指示事項が扱われ、Ver.2.0の問題では3原則と重要10項目が扱われました。それぞれの問題で示された版の説明です。

情報セキュリティ継続は、危機や災害などの困難な状況に備え、セキュリティ運用を続けられるようにする考え方です。過去の出題で扱った補足として、BCPは事業中断時の復旧・再開と、定めた水準までの回復に向けた手順を文書化する計画として問われました。

適用条件と例

たとえば、従業員から端末の不審な動作が報告された場合、担当組織はまず情報を受け付け、内容や影響を評価してから対応を選びます。外部の支援組織が関わる場合も、受付後の評価と組織内の対応を区別して進めます。

物理的な管理策では、入室を許可することに加えて、入退室の記録から誰が出入りしたかを確認できるかを考えます。たとえば、複数人が同じ暗証番号を使う方式では、記録と個人を結び付けにくくなります。荷物の受渡し場所や来訪者との打合せ場所を、情報処理施設や機密情報から離すことも、不要な接触を避ける工夫です。これらは過去の出題で扱った補足です。

事業継続の計画を作るときは、どの業務を優先し、どの水準まで戻すかを考えて復旧手順に反映します。たとえば、主な業務場所が使えない場合に備え、顧客対応を再開するための担当や代替手段を整理できます。

誤りやすい点

組織・機関の名称より、説明されている役割を手掛かりにします。CSIRTは組織内の対応、JPCERT/CCは報告受付や対応支援、J-CRATは標的型攻撃の被害組織などへの支援という違いが、過去の出題で扱われました。問題文の説明を超えて現在の組織体制を決めつけないようにします。