令和6年度 春期 午前Ⅱ 問8

✓ これが正解エSIM3

解説

インシデント管理の成熟度を評価するモデルは SIM3 です。

SIM3（Security Incident Management Maturity Model）は、組織のセキュリティインシデント管理がどこまで整っているかを評価するための成熟度モデルで、Open CSIRT Foundation が開発しました。組織、人、ツール、プロセスといった観点ごとに項目を並べ、それぞれの達成度を段階で評価します。CSIRT が自分たちの体制を点検したり、改善の目標を立てたりするときに使われます。設問の手掛かりは、開発した団体が Open CSIRT Foundation であることと、評価の対象がセキュリティインシデント管理であることです。

ほかの選択肢はなぜ違うのか

• アCMMC：CMMC は、米国国防総省が調達先の企業に求めるサイバーセキュリティの成熟度を認証する枠組みです。CSIRT のインシデント対応の水準を測るために作られたモデルではありません。
• イCMMI：CMMI は、ソフトウェア開発などの業務プロセスがどれだけ成熟しているかを評価するモデルです。対象は組織のプロセス全般で、セキュリティインシデントへの対応に特化したものではありません。
• ウSAMM：SAMM は、ソフトウェア開発におけるセキュリティ保証の取り組みの成熟度を測るモデルです。開発工程のセキュリティが対象で、インシデントへの対応体制を評価するものではありません。