令和3年度 秋期 午前Ⅱ 問19
情報セキュリティ管理
NISTに関する問題
NIST“Cybersecurity Framework：重要インフラのサイバーセキュリティを改善するためのフレームワーク（1.1版）”にある機能とカテゴリの組みのうち，対応しているものはどれか。
選択肢は原典では機能・カテゴリの表（カテゴリ欄は名称と説明の2区画）。
- ア機能：検知 ／ カテゴリ：データセキュリティ ／ 情報と記録が，情報の機密性，完全性，可用性を保護するための自組織のリスク戦略に従って管理されている。
- イ機能：識別 ／ カテゴリ：リスクアセスメント ／ 自組織は，組織の業務，組織の資産及び個人に対するサイバーセキュリティリスクを把握している。
- ウ機能：対応 ／ カテゴリ：セキュリティの継続的なモニタリング ／ 情報システムと資産は，サイバーセキュリティイベントを識別し，保護対策の有効性を検証するために，モニタリングされている。
- エ機能：防御 ／ カテゴリ：分析 ／ 分析は，効果的な対応を確実にし，復旧活動を支援するために実施されている。
答えと解説を見る
✓ これが正解イ機能：識別 ／ カテゴリ：リスクアセスメント ／ 自組織は，組織の業務，組織の資産及び個人に対するサイバーセキュリティリスクを把握している。
解説
リスクアセスメントは、機能の識別に属するカテゴリです。
NISTのサイバーセキュリティフレームワーク1.1版は、組織の取組みを識別、防御、検知、対応、復旧の五つの機能に分け、それぞれの下にカテゴリを置いています。識別は、守るべき資産や業務、そしてそれらに対するリスクを把握し、管理の土台を作る機能です。組織の業務や資産、個人に対するサイバーセキュリティリスクを把握するリスクアセスメントは、識別の機能に属するカテゴリです。見分ける軸は、カテゴリの説明が事前の把握か、守りの対策か、異常の発見か、発生後の行動かという時間の流れです。機能の順番を、把握してから守り、見つけて対応し、元に戻すという流れで覚えると組合せを判断できます。
ほかの選択肢はなぜ違うのか
- ア機能：検知 ／ カテゴリ：データセキュリ…：データセキュリティは、情報と記録を機密性、完全性、可用性の面から守るための管理を扱うカテゴリで、防御の機能に属します。異常の発生を見つけ出すことを担う検知の機能とは、組合せが合っていません。
- ウ機能：対応 ／ カテゴリ：セキュリティの…：セキュリティの継続的なモニタリングは、イベントを識別し対策の有効性を確かめるために監視を続けるカテゴリで、検知の機能に属します。発生したインシデントに手を打つ対応の機能とは、組合せがずれています。
- エ機能：防御 ／ カテゴリ：分析 ／ 分析…：分析は、効果的な対応を確実にし復旧活動を支えるために行うカテゴリで、インシデント発生後に動く対応の機能に属します。事前に保護策を講じる防御の機能のカテゴリではないので、組合せが誤っています。
この問題の用語
- リスクアセスメントリスクを洗い出し（特定）、大きさを見積もり（分析）、対応の優先順位を決める（評価）までの一連の作業を指します。
- 改善悪いところを直して、より良い状態にすること。一度で終わらせず、計画・実行・評価・見直しを繰り返して続けるのが基本です。
- 機密性許された人だけが情報に触れられる状態が保たれていること。完全性・可用性と並ぶ、情報セキュリティの三つの性質の一つです。
- 完全性情報が壊れたり書き換えられたりせず、正しいまま保たれていること。機密性・可用性と並ぶ、三つの性質の一つです。
- 可用性使いたいときに情報や仕組みを使える状態が保たれていること。情報セキュリティの三要素の一つで、システムでは稼働率で表します。
- 組織目的を果たすために、人が役割を分けて集まったまとまりのことです。分け方には機能別、事業部制、マトリックスなどの形があります。
- モニタリング活動が決めたとおり行われているかを継続して監視すること。システムの稼働や計画の進み具合を見て、異常やずれに早く気づくために行います。
- 情報システム業務に必要なデータを集め、処理し、伝えるための仕組み全体です。コンピュータや通信網だけでなく、それを使う人や業務の手順も含みます。
出典：令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問19
同じ用語が出る問題
- 令和7年度 秋期 午前Ⅱ 問20：CASBの利用方法とその効果（可用性）
- 令和7年度 秋期 午前Ⅱ 問12：フェールソフトに関する問題（情報システム）
- 令和6年度 秋期 午前Ⅱ 問10：統制環境に該当するもの（モニタリング）
- 令和5年度 秋期 午前Ⅱ 問1：監査報告書に記載すべきもの（機密性）
- 平成28年度 春期 午前Ⅱ 問21：DNSSECの機能（完全性）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）