はじめに

これまでの記事では、暗号化、認証、デジタル署名、マルウェア、サイバー攻撃などについて学んできました。

しかし、情報セキュリティ対策は、技術を導入するだけで完成するわけではありません。

例えば、会社に高性能なファイアウォールを導入していても、従業員が重要な情報を誤送信してしまえば、情報漏えいは発生します。

また、脆弱性が発見された際に、誰が対応するのか決まっていなければ、対策が遅れてしまう可能性があります。

そこで重要になるのが、情報セキュリティ管理です。

今回は、情報セキュリティを組織全体で管理するための考え方や、関連する規格・組織・評価制度について学びましょう。

1. 情報セキュリティ管理とは

情報セキュリティ管理とは、情報資産をさまざまな脅威から守るために、組織として方針やルールを定め、対策を実施・評価・改善していく活動です。

情報セキュリティ管理には、大きく次の3つの視点があります。

視点	内容	具体例
技術的対策	IT技術を利用した対策	暗号化、認証、ファイアウォール
人的対策	人の行動に関する対策	教育、訓練、権限管理
組織的対策	組織のルールや体制に関する対策	セキュリティ方針、監査、CSIRT

🍯 はちみつ屋さんで例えると

はちみつ屋さんがオンラインショップを運営しているとします。

お客様の情報を守るために、次のような対策を行います。

技術的対策：顧客情報を暗号化する
人的対策：従業員にセキュリティ教育を行う
組織的対策：情報漏えい発生時の対応手順を決める

このように、技術・人・組織を組み合わせて対策することが重要です。

2. リスクマネジメントとは

**リスクマネジメント（Risk Management）**とは、組織の目的に影響を与えるリスクを適切に管理する活動です。

リスクとは、一般に目的に対する不確かさの影響を指します。

情報セキュリティでは、情報漏えいやシステム停止など、望ましくない影響を中心に考えることが多くなります。

ただし、リスクマネジメントは情報セキュリティだけの考え方ではありません。

経営、品質、災害対策、プロジェクト管理など、さまざまな分野で利用されます。

3. リスクマネジメントの流れ

リスクマネジメントでは、一般的に次のような活動を行います。

      【組織の状況を把握】
               │
               ▼
      【リスクアセスメント】
               │
      ┌────────┼────────┐
      ▼        ▼        ▼
 リスク特定  リスク分析  リスク評価
               │
               ▼
         【リスク対応】
               │
               ▼
      【対応結果の確認】
               │
               ▼
         【継続的改善】

※実際のリスクマネジメントでは、コミュニケーション・協議、モニタリング・レビュー、記録・報告なども各活動と並行して行います。

重要なのは、一度対策して終わりではないということです。

システムや事業環境が変化すれば、リスクも変化します。

そのため、継続的に見直す必要があります。

4. リスクアセスメントとは

**リスクアセスメント（Risk Assessment）**とは、リスクを特定・分析・評価する一連のプロセスです。

次の3つで構成されます。

リスク特定
リスク分析
リスク評価

この3つの違いは、応用情報技術者試験でも重要です。

4-1. リスク特定

**リスク特定（Risk Identification）**とは、どのようなリスクが存在するのかを洗い出すことです。

例えば、はちみつ屋さんのオンラインショップでは、次のようなリスクが考えられます。

顧客情報の漏えい
管理者アカウントの乗っ取り
ランサムウェアへの感染
サーバの故障
従業員による誤操作

まずは、何が起こり得るのかを明らかにします。

4-2. リスク分析

**リスク分析（Risk Analysis）**とは、特定したリスクの性質や大きさを理解することです。

情報セキュリティでは、次の2つの観点から考えることがあります。

発生可能性
発生した場合の影響度

例えば、次のように整理できます。

リスク	発生可能性	影響度
顧客情報の漏えい	中	大
サーバの一時停止	中	中
管理画面への不正ログイン	高	大
軽微な表示崩れ	高	小

この段階では、リスクの大きさを把握します。

4-3. リスク評価

**リスク評価（Risk Evaluation）**とは、分析したリスクをあらかじめ定めた基準と比較し、対応が必要かどうかを判断することです。

例えば、次のように判断します。

リスク	リスク評価の例
顧客情報の漏えい	優先的に対応する
管理画面への不正ログイン	最優先で対応する
軽微な表示崩れ	他のリスクと比較して優先度を判断する

重要ポイント

リスク分析は、リスクの大きさを理解すること。

リスク評価は、対応の必要性や優先順位を判断すること。

この違いを覚えましょう。

5. リスクの算定方法

情報セキュリティのリスクを簡易的に評価する場合、次のような考え方を利用することがあります。

リスク値＝発生可能性 × 影響度

例えば、発生可能性と影響度をそれぞれ1〜5の5段階で評価するとします。

リスク	発生可能性	影響度	リスク値
情報漏えい	4	5	20
サーバ停止	3	4	12
軽微な操作ミス	2	2	4

この例では、情報漏えいのリスク値が最も高くなります。

ただし、この計算方法は簡易的な評価モデルの一例です。

すべての組織で同じ計算式を使用するわけではなく、JIS Q 31000がこの計算式を必須としているわけでもありません。

6. リスクマトリクス

**リスクマトリクス（Risk Matrix）**とは、発生可能性と影響度を組み合わせて、リスクの大きさを可視化する方法です。

例えば、次のように表現できます。

発生可能性＼影響度	小	中	大
高	中	高	高
中	低	中	高
低	低	低	中

この表では、発生可能性と影響度の両方が大きいほど、高いリスクとして評価しています。

メリット

リスクの優先順位を整理しやすい
関係者間で認識を共有しやすい
対応が必要なリスクを見つけやすい

注意点

リスクマトリクスは、評価基準の設定によって結果が変わります。

そのため、組織内で判断基準を統一することが重要です。

7. JIS Q 31000:2019とは

JIS Q 31000:2019は、リスクマネジメントに関する指針を定めた日本産業規格です。

国際規格であるISO 31000:2018に対応しています。

この規格では、リスクマネジメントの考え方を、次の3つの観点から整理しています。

原則
枠組み
プロセス

7-1. 原則

リスクマネジメントを効果的に行うための基本的な考え方です。

例えば、次のような考え方があります。

組織の活動に統合する
体系的かつ包括的に取り組む
組織の状況に合わせる
関係者を適切に参加させる
変化に対応する
利用可能な最善の情報を活用する
人的・文化的要因を考慮する
継続的に改善する

7-2. 枠組み

**枠組み（Framework）**とは、組織全体でリスクマネジメントを実施するための仕組みです。

例えば、次のような内容が含まれます。

経営層によるリーダーシップとコミットメント
組織の活動への統合
リスクマネジメント体制の設計
実施
評価
改善

組織としてリスクを管理できる仕組みを整えることが目的です。

7-3. プロセス

**プロセス（Process）**とは、実際にリスクを管理するための一連の活動です。

主な活動には、次のものがあります。

コミュニケーション及び協議
適用範囲、状況及び基準の設定
リスクアセスメント
リスク対応
モニタリング及びレビュー
記録及び報告

試験でのポイント

JIS Q 31000は、情報セキュリティだけでなく、組織全体のリスクマネジメントに利用できる指針です。

8. リスク対応とは

**リスク対応（Risk Treatment）**とは、評価したリスクに対して、どのような対応を行うかを決め、実施することです。

情報セキュリティでは、代表的な対応方法として次の4つを学びます。

リスク回避
リスク低減
リスク移転・共有
リスク保有・受容

※規格上のリスク対応には、リスクを生む活動の開始・継続を判断することや、リスク源を取り除くことなど、より幅広い選択肢があります。ここでは試験学習でよく使われる4分類で整理します。

9. リスク回避

**リスク回避（Risk Avoidance）**とは、リスクの原因となる活動を行わないことで、リスクを避ける方法です。

🍯 はちみつ屋さんで例えると

オンラインショップでクレジットカード情報を自社保存すると、情報漏えいのリスクが発生します。

そこで、カード情報を自社で保持しない決済方式を採用します。

これにより、自社でカード情報を保存することに伴うリスクを回避できます。

特徴

リスクの原因となる活動をやめるため、事業上の機会や利便性を失う場合があります。

10. リスク低減

**リスク低減（Risk Reduction）**とは、リスクの発生可能性や影響度を小さくする方法です。

🍯 はちみつ屋さんで例えると

顧客情報の漏えいを防ぐために、次の対策を実施します。

データを暗号化する
多要素認証を導入する
アクセス権限を制限する
セキュリティパッチを適用する

特徴

情報セキュリティでよく利用されるリスク対応方法です。

ただし、対策を実施してもリスクが完全になくなるとは限りません。

11. リスク移転・共有

**リスク移転・共有（Risk Sharing）**とは、契約や保険などによって、リスクに伴う損失や負担を他者と分担する方法です。

🍯 はちみつ屋さんで例えると

サイバー保険に加入し、事故発生時の金銭的損失の一部に備えます。

注意点

保険に加入したからといって、サイバー攻撃そのものが発生しなくなるわけではありません。

また、業務委託を行っても、自社の管理責任がすべてなくなるわけではありません。

12. リスク保有・受容

**リスク保有（Risk Retention）**とは、リスクを認識したうえで、そのリスクを保持することです。

**リスク受容（Risk Acceptance）**は、評価基準などに照らして、そのリスクを受け入れる判断を指します。

🍯 はちみつ屋さんで例えると

発生可能性も影響度も小さい問題について、追加対策の費用が効果を大きく上回る場合があります。

その場合、リスクを評価したうえで受容する判断が考えられます。

注意点

リスクを受容することは、リスクを無視することではありません。

判断の根拠を記録し、必要に応じて見直すことが重要です。

13. リスク対応の比較

対応方法	意味	具体例
回避	リスクを生む活動を行わない	危険な機能を廃止する
低減	発生可能性や影響度を小さくする	暗号化・多要素認証
移転・共有	損失や負担を他者と分担する	サイバー保険
保有・受容	リスクを認識して保持・受け入れる	低リスクと判断して追加対策を見送る

🍯 覚え方

回避：危険なことをやめる
低減：危険を小さくする
移転・共有：負担を分ける
保有・受容：リスクを理解したうえで受け入れる

14. 残留リスクとは

**残留リスク（Residual Risk）**とは、リスク対応を実施した後にも残っているリスクです。

例えば、多要素認証を導入しても、フィッシングや端末の乗っ取りなどによるリスクが完全になくなるわけではありません。

【対策前のリスク】
        │
        ▼
   セキュリティ対策
        │
        ▼
【対策後に残るリスク】
      残留リスク

組織は、残留リスクについても評価し、受容できるか判断する必要があります。

15. セキュリティ評価の標準化とは

情報セキュリティ対策を評価する際、組織や製品ごとに評価方法が異なると、比較が難しくなります。

そこで、国際的な規格や共通の評価基準が利用されます。

代表的なものには、次のような規格があります。

規格	主な目的
ISO/IEC 15408	IT製品などのセキュリティ機能・保証の評価
ISO/IEC 27001	情報セキュリティマネジメントシステムの要求事項
ISO/IEC 27002	情報セキュリティ管理策の指針
ISO/IEC 27005	情報セキュリティリスクマネジメントの指針
ISO 31000	リスクマネジメントの指針

16. ISO/IEC 15408とは

ISO/IEC 15408は、IT製品などのセキュリティ評価に関する国際規格です。

一般に、**コモンクライテリア（Common Criteria：CC）**と呼ばれます。

IT製品などが、定められたセキュリティ要件を満たしているか評価するための共通の枠組みを提供します。

評価対象の例

ICカード
セキュリティ機器
ネットワーク機器
OS
セキュリティ機能を備えたIT製品

17. コモンクライテリアの重要用語

用語	英語	意味
TOE	Target of Evaluation	評価対象
PP	Protection Profile	製品の種類などに対するセキュリティ要件を記述した文書
ST	Security Target	個別の評価対象についてセキュリティ要件などを記述した文書
EAL	Evaluation Assurance Level	評価保証レベル

TOE

評価の対象となる製品やシステムなどです。

PP

特定の製品ではなく、製品の種類などに対するセキュリティ要件を定義する文書です。

ST

評価対象となる製品などについて、セキュリティ要件や実装するセキュリティ機能などを記述する文書です。

EAL

従来のCommon Criteriaで利用されてきた、評価の保証の程度を表すレベルです。

EAL1からEAL7まであります。

ただし、EALの数字が高いほど、製品があらゆる攻撃に対して安全という意味ではありません。

また、Common Criteriaの新しい版では、保証の扱いが拡張されているため、すべての評価をEALだけで説明できるわけではありません。

18. ISMSとは

**ISMS（Information Security Management System）**とは、情報セキュリティマネジメントシステムのことです。

組織が情報セキュリティを適切に管理するための仕組みを指します。

ISMSでは、次のような活動を行います。

情報セキュリティ方針を定める
情報資産やリスクを把握する
必要な対策を実施する
対策の効果を確認する
継続的に改善する

重要ポイント

ISMSは、単にセキュリティ製品を導入することではありません。

組織として情報セキュリティを管理・改善する仕組みです。

19. ISO/IEC 27001とは

ISO/IEC 27001は、ISMSに関する要求事項を定めた国際規格です。

組織がISMSを構築・運用・改善する際の基準となります。

日本では、対応する規格としてJIS Q 27001があります。

ISMS認証

ISMS認証は、組織のISMSがISO/IEC 27001などの要求事項に適合しているかを、認証機関が審査する制度です。

認証を取得しても、情報漏えいが絶対に発生しないことを保証するものではありません。

20. ISO/IEC 27002とは

ISO/IEC 27002は、情報セキュリティ管理策に関する指針を提供する国際規格です。

例えば、次のような管理策について考える際に参考になります。

アクセス制御
情報資産の管理
人的セキュリティ
物理的セキュリティ
ログの管理
インシデント対応

ISO/IEC 27001との違い

ISO/IEC 27001は、ISMSの要求事項を定める規格です。

ISO/IEC 27002は、情報セキュリティ管理策の実施に関する指針です。

21. ISO/IEC 27005とは

ISO/IEC 27005は、情報セキュリティリスクマネジメントに関する指針を提供する国際規格です。

情報セキュリティ分野において、リスクをどのように管理するかを考える際に利用されます。

規格の比較

規格	覚えるポイント
ISO 31000	組織全体のリスクマネジメント
ISO/IEC 15408	IT製品などのセキュリティ評価
ISO/IEC 27001	ISMSの要求事項
ISO/IEC 27002	情報セキュリティ管理策の指針
ISO/IEC 27005	情報セキュリティリスクマネジメントの指針

22. PDCAサイクル

ISMSの継続的改善を理解するうえで、PDCAサイクルは重要な考え方です。

段階	英語	内容
P	Plan	計画
D	Do	実行
C	Check	評価
A	Act	改善

       【Plan】
         計画
          │
          ▼
       【Do】
         実行
          │
          ▼
       【Check】
         評価
          │
          ▼
       【Act】
         改善
          │
          └────→ Planへ

例えば、はちみつ屋さんでは次のように取り組みます。

Plan：顧客情報の保護方針を決める
Do：アクセス制御を導入する
Check：アクセスログや監査結果を確認する
Act：問題があれば設定やルールを改善する

23. CSIRTとは

**CSIRT（Computer Security Incident Response Team）**とは、コンピュータセキュリティインシデントへの対応を行う組織やチームです。

セキュリティインシデントとは、情報漏えいや不正アクセスなど、情報セキュリティに悪影響を与える、またはそのおそれがある事象です。

CSIRTでは、主に次のような活動を行います。

インシデントの受付
被害状況の把握
関係部署との連携
対応方針の検討
復旧支援
再発防止策の検討

🍯 はちみつ屋さんで例えると

オンラインショップで不正アクセスが発生した場合、担当者が集まって原因調査や復旧対応を行います。

このような対応を組織的に担うのがCSIRTです。

24. CSIRTの役割

CSIRTの主な役割を整理しましょう。

役割	内容
検知・受付	インシデントの報告を受け付ける
分析	原因や影響範囲を調査する
対応調整	関係部署や外部組織と連携する
復旧支援	システムの復旧を支援する
再発防止	対策の見直しや改善を行う

注意点

CSIRTがすべての作業を直接実施するとは限りません。

システム管理者や経営層、法務部門などと連携し、対応を調整することも重要な役割です。

25. JPCERT/CCとは

**JPCERT/CC（Japan Computer Emergency Response Team Coordination Center）**は、日本国内のインターネット利用者や組織などに関係するセキュリティインシデントへの対応調整などを行う組織です。

主な活動には、次のようなものがあります。

インシデント対応の調整
セキュリティ情報の収集・分析
脆弱性情報の調整
国内外のCSIRTとの連携
セキュリティ対策の普及啓発

CSIRTとの違い

CSIRTは、インシデント対応チームの一般的な名称です。

JPCERT/CCは、日本でインシデント対応の調整などを行う具体的な組織です。

26. PSIRTとは

**PSIRT（Product Security Incident Response Team）**とは、製品のセキュリティに関する問題への対応を担うチームです。

主に、ソフトウェアやハードウェアなどを提供する企業で設置されます。

主な活動

自社製品の脆弱性情報の受付
脆弱性の調査
修正プログラムの開発調整
利用者への情報提供
外部の研究者や関係機関との連携

27. CSIRTとPSIRTの違い

項目	CSIRT	PSIRT
主な対象	組織のセキュリティインシデント	自社製品のセキュリティ問題
主な活動	インシデント対応・調整	製品脆弱性への対応
具体例	社内システムへの不正アクセス	自社製ソフトウェアの脆弱性
主な連携先	社内各部署、外部CSIRT	開発部門、利用者、脆弱性報告者

🍯 はちみつ屋さんで例えると

CSIRT

→ はちみつ屋さんのオンラインショップが攻撃されたときに対応するチーム。

PSIRT

→ はちみつ屋さんが販売している注文管理ソフトに脆弱性が見つかったときに対応するチーム。

28. SIM3とは

**SIM3（Security Incident Management Maturity Model）**とは、CSIRTなどのインシデント対応組織の成熟度を評価するためのモデルです。

CSIRTが適切に運営されているかを、さまざまな観点から評価します。

代表的な評価領域は次の4つです。

領域	内容
Organization	組織
Human	人材
Tools	ツール
Processes	プロセス

Organization

CSIRTの役割や責任、組織内での位置づけなどを評価します。

Human

担当者のスキルや教育、人的体制などを評価します。

Tools

インシデント対応に利用するツールや設備などを評価します。

Processes

インシデント対応の手順や運用プロセスなどを評価します。

ポイント

SIM3は、セキュリティ製品そのものを評価する規格ではありません。

CSIRTなどのインシデント対応組織の成熟度を評価するモデルです。

29. JVNとは

**JVN（Japan Vulnerability Notes）**とは、日本国内で利用されるソフトウェアなどの脆弱性関連情報を提供するポータルサイトです。

JPCERT/CCとIPAが共同で運営しています。

JVNでは、次のような情報を確認できます。

脆弱性の概要
影響を受ける製品
想定される影響
対策方法
関連情報

🍯 はちみつ屋さんで例えると

オンラインショップで利用しているソフトウェアに脆弱性が見つかった場合、JVNなどを確認して、影響や対策を調べます。

30. JVN iPediaとは

JVN iPediaとは、ソフトウェアなどの脆弱性対策情報を蓄積・公開するデータベースです。

JVNと名前が似ていますが、役割には違いがあります。

項目	JVN	JVN iPedia
主な役割	脆弱性関連情報の公開	脆弱性対策情報の蓄積・検索
特徴	脆弱性情報を提供するポータル	脆弱性情報データベース

31. J-CRATとは

**J-CRAT（Cyber Rescue and Advice Team against targeted attack of Japan）**とは、IPAが運営する、標的型サイバー攻撃への対応支援を行うチームです。

日本語では、サイバーレスキュー隊と呼ばれます。

主に、標的型サイバー攻撃による被害の拡大防止などを支援します。

主な活動

標的型サイバー攻撃に関する相談対応
被害状況の把握
初動対応への助言
被害拡大防止の支援

覚え方

J-CRATは、標的型サイバー攻撃への対応支援。

32. CRYPTRECとは

**CRYPTREC（Cryptography Research and Evaluation Committees）**とは、電子政府などで利用する暗号技術の安全性や適切性を評価・監視するための活動です。

CRYPTRECでは、暗号技術に関する評価や検討が行われています。

また、電子政府推奨暗号リストなどが公開されています。

主な役割

暗号技術の安全性評価
暗号技術の監視
暗号技術に関する情報提供
推奨暗号リストの整備

注意点

CRYPTRECは、脆弱性情報を公開するJVNとは役割が異なります。

CRYPTRECは暗号技術に関する評価・検討を行う活動です。

33. ISMAPとは

**ISMAP（Information system Security Management and Assessment Program）**とは、政府情報システムのためのセキュリティ評価制度です。

政府がクラウドサービスを調達する際などに利用されます。

クラウドサービスのセキュリティを、共通の基準に基づいて評価する仕組みです。

主な目的

政府が利用するクラウドサービスの安全性確保
クラウドサービスのセキュリティ評価の標準化
評価結果を活用した効率的な調達

ISMAPクラウドサービスリスト

制度に基づいて登録されたクラウドサービスは、ISMAPクラウドサービスリストで確認できます。

注意点

ISMAPに登録されていることは、クラウドサービスに脆弱性が存在しないことを保証するものではありません。

34. セキュリティ関連組織・制度の比較

ここまでの用語を整理しましょう。

用語	分類	主な役割
CSIRT	組織・チーム	セキュリティインシデント対応
JPCERT/CC	組織	インシデント対応調整など
PSIRT	組織・チーム	製品の脆弱性対応
SIM3	成熟度評価モデル	CSIRTなどの成熟度評価
JVN	情報提供サイト	脆弱性関連情報の公開
JVN iPedia	データベース	脆弱性対策情報の蓄積・検索
J-CRAT	支援チーム	標的型サイバー攻撃への対応支援
CRYPTREC	暗号評価活動	暗号技術の評価・監視
ISMAP	評価制度	政府向けクラウドサービスのセキュリティ評価

35. 脆弱性とは

**脆弱性（Vulnerability）**とは、システムやソフトウェアなどに存在する、セキュリティ上の弱点です。

例えば、次のようなものがあります。

不適切なアクセス制御
入力値の処理の不備
古いソフトウェア
安全でない設定
認証処理の不備

脆弱性を管理するために、さまざまな識別子や評価指標が利用されています。

代表的なものが、次の4つです。

CVE
CWE
CVSS
CCE

36. CVEとは

**CVE（Common Vulnerabilities and Exposures）**とは、公開された個別の脆弱性に共通の識別子を付与する仕組みです。

例えば、次のような形式で表されます。

CVE-YYYY-NNNN...

YYYYには年が入り、後半には識別番号が入ります。

重要ポイント

CVEは、脆弱性を識別するための番号です。

脆弱性の深刻度を表す数値ではありません。

37. CWEとは

**CWE（Common Weakness Enumeration）**とは、ソフトウェアやハードウェアに存在する弱点を分類した一覧です。

例えば、次のような弱点が分類されています。

バッファオーバーフロー
SQLインジェクションにつながる入力処理の不備
不適切なアクセス制御
不適切な認証処理

CVEとの違い

CVEは、個別の脆弱性を識別します。

CWEは、脆弱性につながる弱点の種類を分類します。

38. CVSSとは

**CVSS（Common Vulnerability Scoring System）**とは、脆弱性の深刻度を共通の基準で評価するための仕組みです。

CVSSでは、脆弱性の性質などを評価し、数値で表します。

代表的なCVSS v3.1では、0.0〜10.0のスコアを使用します。

スコア	深刻度
0.0	None
0.1〜3.9	Low
4.0〜6.9	Medium
7.0〜8.9	High
9.0〜10.0	Critical

※この区分はCVSS v3.1で用いられる深刻度区分です。CVSSには複数のバージョンがあり、評価項目や算出方法が異なります。

注意点

CVSSのスコアが高いからといって、必ずその脆弱性から先に対応するとは限りません。

実際の対応優先度を決める際には、次のような要素も考慮します。

自社システムへの影響
外部から攻撃可能か
実際に悪用されているか
対象システムの重要度
利用可能な対策

39. CVSSの評価項目

CVSS v3.1では、主に次の3種類の評価基準があります。

評価基準	内容
基本評価基準（Base）	脆弱性そのものの性質を評価
現状評価基準（Temporal）	攻撃コードや対策の提供状況などを考慮
環境評価基準（Environmental）	利用環境に応じた影響を考慮

なお、CVSS v4.0では評価基準の構成が見直され、ThreatやSupplementalなどの考え方が導入されています。

試験問題では、どのCVSSバージョンについて問われているかに注意しましょう。

40. CCEとは

**CCE（Common Configuration Enumeration）**とは、システムやソフトウェアのセキュリティ設定に関する項目を共通の識別子で管理するための仕組みです。

例えば、次のような設定項目が対象になります。

パスワードポリシー
アカウント設定
ログ設定
アクセス制御設定
サービスの有効・無効

重要ポイント

CCEは、脆弱性そのものを識別するCVEとは異なります。

CCEは設定項目の識別に関する仕組みです。

41. CVE・CWE・CVSS・CCEの違い

この4つは、応用情報技術者試験で特に重要な比較です。

用語	正式名称	主な役割
CVE	Common Vulnerabilities and Exposures	個別の脆弱性を識別する
CWE	Common Weakness Enumeration	弱点の種類を分類する
CVSS	Common Vulnerability Scoring System	脆弱性の深刻度を評価する
CCE	Common Configuration Enumeration	設定項目を識別する

🍯 はちみつ屋さんで例えると

オンラインショップにセキュリティ上の問題が見つかったとします。

CVE

→ 発見された個別の問題につける管理番号。

CWE

→ その問題が、どの種類の弱点に分類されるか。

CVSS

→ その問題が、どれくらい深刻なのかを評価する。

CCE

→ システムの設定項目を共通の番号で管理する。

覚え方

CVE：脆弱性の番号
CWE：弱点の分類
CVSS：深刻度の評価
CCE：設定項目の識別

42. 情報セキュリティ管理の全体像

今回学んだ用語は、別々のものに見えますが、実際には関連しています。

例えば、はちみつ屋さんのオンラインショップで、利用しているソフトウェアに脆弱性が発見された場合を考えましょう。

【脆弱性の発見】
        │
        ▼
【JVNなどで情報を確認】
        │
        ▼
【CVEで脆弱性を識別】
        │
        ▼
【CWEで弱点の種類を確認】
        │
        ▼
【CVSSなどで深刻度を把握】
        │
        ▼
【自社環境でリスクアセスメント】
        │
        ▼
【リスク対応を決定】
        │
        ▼
【修正プログラム適用など】
        │
        ▼
【対応結果を確認・改善】

もし、すでに不正アクセスが発生していた場合には、CSIRTなどがインシデント対応を行います。

また、自社で提供している製品の脆弱性であれば、PSIRTが対応する場合があります。

このように、情報セキュリティ管理は、規格・組織・評価指標・技術的対策を組み合わせて実施するものです。

43. 応用情報技術者試験の重要ポイント

今回の内容を、試験対策向けに整理します。

用語	覚えるポイント
リスクマネジメント	リスクを組織的に管理する活動
リスクアセスメント	リスク特定・分析・評価
リスク特定	どのようなリスクがあるか洗い出す
リスク分析	リスクの性質や大きさを理解する
リスク評価	リスクへの対応が必要か判断する
JIS Q 31000:2019	リスクマネジメントの指針
リスク回避	リスクを生む活動を行わない
リスク低減	リスクの発生可能性や影響度を小さくする
リスク移転・共有	リスクに伴う負担を他者と分担する
リスク保有・受容	リスクを認識して保持・受け入れる
ISO/IEC 15408	IT製品などのセキュリティ評価
ISO/IEC 27001	ISMSの要求事項
ISO/IEC 27002	情報セキュリティ管理策の指針
ISO/IEC 27005	情報セキュリティリスクマネジメント
CSIRT	セキュリティインシデント対応
PSIRT	製品のセキュリティ問題への対応
JPCERT/CC	インシデント対応調整など
SIM3	CSIRTなどの成熟度評価
JVN	脆弱性関連情報の提供
J-CRAT	標的型サイバー攻撃への対応支援
CRYPTREC	暗号技術の評価・監視
ISMAP	政府向けクラウドサービスのセキュリティ評価制度
CVE	個別の脆弱性を識別
CWE	弱点の種類を分類
CVSS	脆弱性の深刻度を評価
CCE	設定項目を識別

CCEは、セキュリティ設定項目を識別するための仕組みです。

問題15：残留リスク

残留リスクの説明として、最も適切なものはどれでしょうか。

A. まだ発見されていないリスク
B. リスク対応を実施した後にも残っているリスク
C. すべての対策が不要なリスク
D. 保険によって完全に消滅したリスク

解答

正解：B

残留リスクとは、リスク対応後にも残っているリスクです。

まとめ

今回は、情報セキュリティ管理について学びました。

重要なポイントを振り返りましょう。

リスクマネジメントは、組織の目的に影響するリスクを管理する活動
リスクアセスメントは、リスク特定・リスク分析・リスク評価で構成される
JIS Q 31000:2019は、リスクマネジメントの指針を定めた規格
リスク対応には、回避・低減・移転／共有・保有／受容などがある
ISO/IEC 15408は、IT製品などのセキュリティ評価に関する規格
ISO/IEC 27001は、ISMSの要求事項を定めた規格
CSIRTは、セキュリティインシデント対応を担うチーム
PSIRTは、製品のセキュリティ問題への対応を担うチーム
SIM3は、CSIRTなどの成熟度を評価するモデル
JVNは、脆弱性関連情報を提供するポータルサイト
J-CRATは、標的型サイバー攻撃への対応を支援するチーム
CRYPTRECは、暗号技術の評価・監視などを行う活動
ISMAPは、政府情報システムのためのセキュリティ評価制度
CVE・CWE・CVSS・CCEは、それぞれ役割が異なる

🍯 はちみつメモ

情報セキュリティ管理は、はちみつ屋さんを安全に運営し続けるための仕組み！

リスクマネジメント

→ お店にどんな危険があるかを考え、管理すること。

リスクアセスメント

→ 危険を見つけて、調べて、対応が必要か判断すること。

リスク回避

→ 危険な販売方法をやめること。

リスク低減

→ 防犯カメラや鍵を設置して、危険を小さくすること。

リスク移転・共有

→ 保険などで、被害が発生したときの負担を分けること。

リスク保有・受容

→ 危険を理解したうえで、受け入れること。

ISMS

→ お店全体で安全を守るためのルールと運用の仕組み。

CSIRT

→ お店で事件が発生したときに対応するチーム。

PSIRT

→ お店が販売している製品に問題が見つかったときに対応するチーム。

JVN

→ 危険な製品やソフトウェアの情報を確認する場所。

CRYPTREC

→ 安全な暗号技術を評価する活動。

ISMAP

→ 政府が利用するクラウドサービスの安全性を評価する制度。

CVE

→ 発見された個別の脆弱性の番号。

CWE

→ 脆弱性につながる弱点の種類。

CVSS

→ 脆弱性の深刻度を評価するもの。

CCE

→ セキュリティ設定項目を識別するもの。

応用情報技術者試験では、規格・組織・制度・評価指標の役割の違いを整理して覚えよう！