本ユニットでは、不正アクセスやウイルス、脆弱性などを国に届け出る公的な届出制度と、IPA(情報処理推進機構)などが運営するセキュリティ支援の仕組みを学ぶ。何をどこへ届け出るか、各支援機関・制度が誰を何から守るかが整理の鍵で、ITパスポートでは略称と役割の対応がよく問われる頻出分野である。
不正アクセスの被害をIPAへ届け出てもらい、対策に役立てる制度。
コンピュータ不正アクセス届出制度は、ID・パスワードの悪用やシステムへの侵入といった不正アクセス被害を受けた人が、IPA(情報処理推進機構)へその内容を届け出る制度です。集まった情報を分析し、被害の傾向や対策を社会全体へ広く知らせる目的があります。 試験では、不正アクセス『被害』の届出先がIPAである点が問われます。次に学ぶウイルス届出制度・脆弱性届出制度と並ぶ『3つの届出制度』の一つとして、何を届け出るのかをセットで覚えましょう。届出は義務ではなく、被害情報を集約して再発防止に活かす仕組みである点も押さえます。
たとえ空き巣に入られた人が警察へ被害を届け、地域全体の防犯対策に役立ててもらうのに似ている。一件の届出が、みんなの被害防止につながる。
記憶フックコンピュータ不正アクセス届出制度といえば不正アクセス被害をIPAへ届け出る
ウイルスの発見・感染被害をIPAへ届け出る制度。
コンピュータウイルス届出制度は、コンピュータウイルス(マルウェア)を発見したり感染被害を受けたりした人が、その情報をIPAへ届け出る制度です。届出を集めることで、どのようなウイルスが流行しているかを把握し、注意喚起や対策情報の発信に役立てます。 試験では、ウイルスに関する届出先がIPAである点が問われます。不正アクセス届出制度・脆弱性届出制度と混同しやすいので、『ウイルスならウイルス届出制度』と対象で区別しましょう。これも義務ではなく、被害状況を社会で共有し被害拡大を防ぐための制度です。
たとえ感染症にかかった人が保健所へ報告し、流行状況の把握と注意喚起に役立てるのに似ている。一人の報告が次の感染を防ぐ。
記憶フックコンピュータウイルス届出制度といえばウイルスの発見・被害をIPAへ届け出る
ソフトやWebサイトの脆弱性をIPAへ届け出る制度。
脆弱性関連情報届出制度は、ソフトウェア製品やWebサイトに発見されたセキュリティ上の弱点(脆弱性)を、発見者がIPAへ届け出る制度です。IPAが受け付けた情報をJPCERT/CCと連携して開発者へ伝え、修正を促す『脆弱性情報の調整役』として機能します。 試験では、被害そのものではなく『脆弱性(弱点)』を届け出る制度である点が問われます。攻撃される前に弱点を修正してもらうための仕組みで、不正アクセスやウイルスの『被害』を届け出る制度とは目的が異なります。発見者がいきなり世間へ公開せず、まずIPAへ届けて調整する流れが重要です。
たとえ建物の構造に欠陥を見つけた人が、こっそり広めず管理者へ通報し、事故が起きる前に直してもらうのに似ている。
記憶フック脆弱性関連情報届出制度といえば製品やサイトの弱点をIPAへ届け出る
政府が利用するクラウドサービスの安全性を評価・登録する制度。
ISMAP(イスマップ、政府情報システムのためのセキュリティ評価制度)は、政府機関が採用するクラウドサービスについて、必要なセキュリティ基準を満たしているかを評価し、満たしたサービスをリストに登録する制度です。各府省はこの登録リストの中からクラウドを選ぶことで、安全性をあらかじめ確認できます。 試験では、ISMAPが『政府が使うクラウドサービスの安全性を評価・登録する制度』である点が問われます。届出制度とは異なり、サービス側の安全性をお墨付きとして与える仕組みです。クラウド利用の拡大に伴い出題頻度が高い用語なので、名称と目的を確実に覚えましょう。
たとえ役所が使う食材を、事前に検査して『安全な業者リスト』に載せておくのに似ている。利用側はリストから選ぶだけで安心できる。
記憶フックISMAPといえば政府が使うクラウドの安全性評価・登録制度
サイバー攻撃情報を官民で共有する連携の枠組み。
J-CSIP(ジェイシップ、サイバー情報共有イニシアティブ)は、IPAを中心に、重要インフラを担う企業などが受けたサイバー攻撃の情報を持ち寄り、参加組織で共有する官民連携の枠組みです。攻撃手口を早く共有することで、ほかの組織が同じ攻撃に備えられるようにします。 試験では、J-CSIPが『サイバー攻撃情報を共有する官民連携の仕組み』である点が問われます。次に学ぶJ-CRAT(被害低減を支援する活動)との役割の違いに注意しましょう。J-CSIPは『情報共有』、J-CRATは『支援・救済』と覚えると区別しやすくなります。
たとえ町内会で『うちにこんな不審者が来た』と情報を回覧板で共有し、近所みんなで警戒するのに似ている。早い共有が被害を防ぐ。
記憶フックJ-CSIPといえばサイバー攻撃情報を官民で共有する枠組み
標的型攻撃の被害低減を支援するIPAの活動。
J-CRAT(ジェイクラート、サイバーレスキュー隊)は、標的型サイバー攻撃を受けた、あるいは受けるおそれのある組織を支援し、被害の拡大を食い止めるIPAの活動です。相談を受けて状況を分析し、攻撃の連鎖を断ち切るための助言や支援を行います。 試験では、J-CRATが『標的型攻撃の被害低減を支援する活動』で、通称がサイバーレスキュー隊である点が問われます。情報を共有するJ-CSIPと混同しやすいので、J-CRATは『現場を助けるレスキュー』とイメージしましょう。攻撃を受けた組織への支援という、より実働的な役割が特徴です。
たとえ火事が起きた現場へ駆けつけ、延焼を食い止める消防のレスキュー隊に近い。被害を受けた組織を直接助けに行く。
記憶フックJ-CRATといえば標的型攻撃の被害低減を支援する(サイバーレスキュー隊)
J-CRATの通称。標的型攻撃の被害組織を支援する。
サイバーレスキュー隊は、IPAが運営するJ-CRATの通称(日本語の呼び名)です。標的型攻撃の被害を受けた組織からの相談に応じ、攻撃の分析や被害拡大の防止を支援します。名前のとおり『救助(レスキュー)』のイメージで、緊急時に駆けつける役割を担います。 試験では、サイバーレスキュー隊=J-CRATという対応関係が問われます。両者は同じものを指す別名なので、必ずセットで覚えましょう。略称(J-CRAT)と通称(サイバーレスキュー隊)、そして『標的型攻撃の被害低減支援』という役割の三点を結び付けておくと得点につながります。
たとえ正式名称と通称の関係は、『国際連合』と『国連』のようなもの。指しているものは同じで、呼び方が二つあるだけ。
記憶フックサイバーレスキュー隊といえばJ-CRATの通称
中小企業が情報セキュリティ対策に取り組むと自己宣言する制度。
SECURITY ACTION(セキュリティアクション)は、中小企業が自ら情報セキュリティ対策に取り組むことを自己宣言する制度です。IPAが定めた『中小企業の情報セキュリティ対策ガイドライン』に沿って取り組み、宣言するとロゴマークを使えるようになり、取組み姿勢を対外的に示せます。 試験では、SECURITY ACTIONが『中小企業向けの自己宣言制度』である点が問われます。第三者が審査して認証する制度ではなく、事業者自身が宣言する点が特徴で、ISMS認証などとは性質が異なります。中小企業のセキュリティ意識向上を促す公的取組みとして押さえましょう。
たとえ店先に『当店は衛生管理に取り組んでいます』と自分で宣言して掲示するのに似ている。審査ではなく、自らの取組み姿勢を示すもの。
記憶フックSECURITY ACTIONといえば中小企業の情報セキュリティ自己宣言制度
関連の過去問演習は今後のアップデートで追加予定です。