| 用語 | ひとことで | 仕組みの型 | 主な利用者・対象 |
|---|---|---|---|
| コンピュータ不正アクセス届出制度 | 不正アクセスの被害を IPA へ届け出る | 届出 | 被害 (未遂を含む) に遭った組織や個人 |
| コンピュータウイルス届出制度 | ウイルスの発見や感染を IPA へ届け出る | 届出 | ウイルスを見つけた人、感染した人 |
| 脆弱性関連情報届出制度 | 製品や Web サイトの弱点を IPA へ届け出る | 届出と修正に向けた調整 | 弱点を見つけた人 |
| ISMAP | 政府が使うクラウドサービスを評価して登録する | 評価と登録 | クラウド事業者と政府機関 |
| J-CSIP | 参加組織どうしでサイバー攻撃の情報を共有する | 情報共有 | 参加した企業や団体 |
| J-CRAT | 標的型攻撃を受けた組織の対応を支援する | 対応支援 | 相談してきた組織 |
| サイバーレスキュー隊 | J-CRAT の日本語での呼び名 | 対応支援 (J-CRAT と同じ) | 相談してきた組織 |
| SECURITY ACTION | 中小企業などが対策を進めると自ら宣言する | 自己宣言 | 中小企業や個人事業主など |
コンピュータ不正アクセス届出制度は、不正アクセスの被害 (未遂を含む) を受けた組織や個人が、その状況を IPA (情報処理推進機構) へ届け出る制度である。
分析の結果は注意喚起や対策情報として社会へ公表される。
IPA は国の情報処理政策を担う独立行政法人で、この届出の受付窓口になっている。届出は法律で課された義務ではなく、集まった事例から手口の傾向と対策をまとめて広く知らせ、同じ被害を減らすことを目的としている。
たとえ地域で起きた空き巣の情報を一か所に集めて地図にすると、狙われやすい家の特徴が見えてくるのに近い。
出題のポイント
コンピュータウイルス届出制度は、ウイルスを発見したり感染したりした人が、その情報を IPA へ届け出る制度である。
感染には至らず、ウイルスを見つけただけの場合も届出の対象になる。IPA は集まった届出から流行しているウイルスの種類や広がり方をつかみ、注意喚起や対策情報の発信に役立てる。
たとえ医療機関からの報告で保健所が感染症の流行をつかみ、地域に注意を呼びかける流れに似ている。
出題のポイント
脆弱性関連情報届出制度は、ソフトウェア製品や Web サイトに見つかった脆弱性 (セキュリティ上の弱点) を、発見者が IPA へ届け出る制度である。
製品についての調整が済んだ段階で、弱点の内容と対処方法が JVN に掲載される。
JPCERT/CC (JPCERT コーディネーションセンター) は国内のインシデント対応や脆弱性情報の調整を担う組織で、ソフトウェア製品の届出では開発者との連絡役になる。製品についての調整が済むと、弱点と対処方法は JPCERT/CC と IPA が運営する JVN という脆弱性対策情報のポータルサイトで公表される。Web サイトの弱点の場合は、IPA がサイトの運営者へ知らせて修正を促す。
たとえ市販の家電の欠陥に気付いた人が、うわさを広める前に窓口へ知らせ、メーカーの修理の段取りがついてから利用者へ告知されるのに似ている。
出題のポイント
| 観点 | コンピュータウイルス届出制度 | 脆弱性関連情報届出制度 |
|---|---|---|
| 決め手届け出る中身 | ウイルスの発見や感染 | 製品や Web サイトの弱点 |
| 届出の後の主な流れ | IPA が集計・分析して注意喚起する | 開発者や運営者に修正を促す (ソフトウェア製品の弱点は JVN で公表する) |
| 受付窓口 | IPA | IPA |
ISMAP (政府情報システムのためのセキュリティ評価制度) は、政府機関が使うクラウドサービスを事前に評価し、基準を満たしたものを登録簿に載せる制度である。
政府機関はクラウドを調達するとき、登録簿のサービスから選ぶ。
評価では、政府が求めるセキュリティ要求に沿った管理策が実際に運用されているかを、ISMAP に登録された監査機関が確かめる。各府省は原則として登録簿に載ったサービスから選ぶので、調達のたびに個別に安全性を確かめる手間を減らせる。
たとえ役所が備品を買うとき、あらかじめ審査を通った業者の名簿から選ぶのに似ている。
覚え方MAP は Management and Assessment Program の頭文字で、管理 (Management) の状況を評価 (Assessment) する制度だと読める。
出題のポイント
J-CSIP (サイバー情報共有イニシアティブ) は、IPA を中心に参加組織がサイバー攻撃の情報を持ち寄り、互いに共有する官民の枠組みである。
分析した情報がほかの参加組織へ届き、同じ攻撃への備えに使われる。
参加するのは重要インフラ分野などの業界団体や企業で、秘密保持の約束のもとで情報をやり取りする。ある組織が受けた攻撃の手口を早く回すことで、ほかの参加組織が同じ攻撃に備えられる。
たとえ近所に不審な訪問者が来たら町内会の回覧で知らせ合い、ほかの家も戸締まりを強めるのに似ている。
覚え方末尾の IP は Information sharing Partnership の頭文字で、「共有の仲間」と読める。
出題のポイント
J-CRAT (サイバーレスキュー隊) は、標的型攻撃を受けた組織などからの相談に応じ、被害の拡大を抑えて攻撃の連鎖を断つ手助けをする IPA の活動である。
標的型攻撃は、特定の組織を狙い、業務を装ったメールなどで侵入を試みる攻撃である。J-CRAT は相談を受けて状況を分析して助言し、必要なときは現地に出向いて調査を支援する。
たとえ家の水漏れを相談すると、専門家が原因を調べて直し方を助言し、どう直すかは家主が決めるのに近い。
覚え方CRAT は Cyber Rescue and Advice Team の頭文字で、救助 (Rescue) と助言 (Advice) の隊と読める。
出題のポイント
| 観点 | J-CSIP | J-CRAT |
|---|---|---|
| 決め手主な役割 | 攻撃の情報を参加組織で共有する | 被害を受けた組織の対応を支援する |
| 相手 | あらかじめ参加している組織 | 相談してきた組織 |
| 動く場面 | 攻撃を検知した段階で情報を回す | 被害を受けたとき、受けるおそれがあるとき |
| 運営 | IPA | IPA |
サイバーレスキュー隊は IPA の J-CRAT の日本語での呼び名で、両者は同じ活動を指す。
英語の正式名を略したのが J-CRAT、その役割を日本語で言い表したのがサイバーレスキュー隊という関係にある。正式名 Cyber Rescue and Advice Team against targeted attack of Japan には「標的型攻撃に対する」という意味の語句 (against targeted attack) が入っており、支援の対象とする攻撃が名前からも読み取れる。
SECURITY ACTION は、中小企業などが自社で情報セキュリティ対策を進めると宣言する、IPA の自己宣言の制度である。
| 段階 | 宣言の前に行うこと |
|---|---|
| 一つ星 | 「情報セキュリティ5か条」に取り組む |
| 二つ星 | 自社診断で現状をつかみ、基本方針を定めて外部に公開する |
取組みの目安には、IPA の「中小企業の情報セキュリティ対策ガイドライン」が使われる。宣言した事業者はロゴマークを使えるので、取引先などに取組みの姿勢を示せる。
たとえ店先に自ら「衛生管理に取り組んでいます」と掲げるのに似ている。
覚え方名前は ACTION (行動) であって CERTIFICATION (認証) ではない、と英単語で区別する。
出題のポイント
この単元の過去問から 5 題
確認問題を解く