情報セキュリティ管理の拠り所となる各種ガイドラインと標準規格を学ぶ単元です。汎用的な管理基準、経営層・中小企業向けの指針、CPSF・IoT・PCI DSSといった分野別の規格を整理して扱います。誰が・どの対象に向けた文書かを区別できることが得点の鍵で、特に管理基準とPCI DSSは頻出です。
ISMS構築・運用の実践規範を示す、経済産業省策定の管理基準。
情報セキュリティ管理基準は、組織が情報セキュリティマネジメントシステム(ISMS)を構築・運用する際の拠り所となる、経済産業省が策定した実践規範です。国際規格ISO/IEC 27001・27002の考え方に沿って、具体的な管理策(マネジメント基準と管理策基準)を整理しています。 試験では、ISMSを実際に運用するための「やるべきことの基準」を示した汎用的な文書である点が問われます。後述の経営ガイドラインが経営層向けの心得であるのに対し、こちらは実務での管理策そのものを体系化した基準である、という位置づけの違いを押さえましょう。
たとえ情報セキュリティ版の「業務マニュアル兼チェックリスト」のようなもの。何を・どこまでやれば適切な管理になるかの基準を、項目ごとに並べてくれています。
記憶フック情報セキュリティ管理基準といえばISMS運用の実践規範(経済産業省)
経営者がサイバーセキュリティで認識すべき原則と指示事項を示す指針。
サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが策定した、経営者向けの指針です。経営者が認識すべき「3原則」と、担当幹部(CISOなど)に指示すべき「重要10項目」を示しています。 特徴は、現場の技術者ではなく経営層を読み手としている点です。試験では、サイバーセキュリティ対策を経営課題(投資)としてとらえ、経営者がリーダーシップを発揮するための指針である、という位置づけが問われます。実務の管理策を並べた管理基準とは読み手と目的が異なる点を区別しましょう。
たとえ会社のトップに向けた「経営の心得帳」のようなもの。細かい現場手順ではなく、社長が押さえるべき大方針と部下への指示事項を示してくれます。
記憶フックサイバーセキュリティ経営ガイドラインといえば経営者向けの3原則と重要10項目
中小企業が無理なく取り組める情報セキュリティ対策をまとめたIPAの指針。
中小企業の情報セキュリティ対策ガイドラインは、IPAが策定した、人材や予算が限られる中小企業向けの実践指針です。経営者が最低限取り組むべき内容や、段階的に対策を進める方法をやさしくまとめています。 関連する取組みとして、対策に取り組む宣言である「SECURITY ACTION」制度があります。試験では、対象が「中小企業」である点と、経営ガイドラインが大企業も含む経営層全般を想定するのに対し、こちらは規模の小さい組織が現実的に始められる対策に焦点を当てている点が問われます。
たとえ小さなお店向けの「やさしい防犯入門」のようなもの。大企業向けの本格的な指針より、限られた人手とお金で今日から始められる対策を優先して教えてくれます。
記憶フック中小企業の情報セキュリティ対策ガイドラインといえば中小企業向けのIPA指針
サイバー空間と現実空間が融合した社会の安全を確保する枠組み(CPSF)。
サイバー・フィジカル・セキュリティ対策フレームワーク(CPSF)は、経済産業省が策定した、IoTやデータ連携でサイバー空間と現実(フィジカル)空間が融合したサプライチェーン全体の安全を守るための枠組みです。 特徴は、産業社会を「企業間のつながり」「フィジカルとサイバーのつながり」「サイバー空間でのデータのつながり」という三層でとらえ、各層で守るべきものとリスクを整理する点です。試験では、CPSFが分野横断的にサプライチェーンの信頼を確保するフレームワークであることを押さえましょう。
たとえ工場・モノ・データという三つの階を持つビル全体を、一棟まるごと守るための「総合防災計画」のようなもの。階ごとに守るべき対象と危険を整理します。
記憶フックCPSFといえばサイバーとフィジカルが融合した社会を三層で守る枠組み
IoT機器・システムの設計から運用までの安全指針をまとめたガイドライン。
IoTセキュリティガイドラインは、IoT機器やシステムを安全に提供・利用するための指針です。方針・分析・設計・構築/接続・運用/保守という各段階で求められる対策を整理しています。 IoT機器は、長期間使われる、更新されにくい、出荷後に管理が及びにくいといった固有の弱点を持ちます。試験では、こうしたIoT特有のリスクを前提に、機器のライフサイクル全体を通じて安全を考える分野特化型の指針である点が問われます。CPSFが社会全体の枠組みであるのに対し、こちらはIoT機器寄りの具体的指針です。
たとえネットにつながる家電を作って売るための「安全設計マニュアル」のようなもの。設計から廃棄まで、つながる機器ならではの注意点を段階ごとにまとめています。
記憶フックIoTセキュリティガイドラインといえばIoT機器をライフサイクル全体で守る指針
クレジットカード情報を安全に扱うための国際的なセキュリティ基準。
PCI DSS(Payment Card Industry Data Security Standard)は、クレジットカード会員データを安全に取り扱うために、国際カードブランドが共同で策定した業界標準のセキュリティ基準です。カード情報を保存・処理・伝送する事業者が対象となります。 ネットワークの保護、データの暗号化、アクセス制御、定期的な監視・テストなど、具体的な要件が定められています。試験では、PCI DSSがクレジットカード業界(決済分野)に特化した国際基準である点と、英字略語の意味が問われます。分野別規格のうち、決済というきわめて具体的な領域を対象とする規格である点を押さえましょう。
たとえクレジットカード情報を扱うお店が必ず守る「金庫の取扱い世界標準」のようなもの。大切な番号を、決められた手順で厳重に保管・受け渡しするための共通ルールです。
記憶フックPCI DSSといえばクレジットカード情報を守る国際標準規格
関連の過去問演習は今後のアップデートで追加予定です。