IPA セキュリティ管理 — 頻出論点と過去問

この分野の学び方

1. この分野の全体像

セキュリティ管理は、情報を守る対策を個々の技術に任せず、組織として決まりと体制を定めて回し続けるための仕組みです。問いは、対策や事故の例がどの特性やPDCAの段階に当たるかの当てはめから始まります。JIS規格の用語の定義や評価制度の中身を見分ける問いは応用情報技術者の午前から加わり、高度試験の午前IIでは管理基準の構成のような細目まで見分けさせています。方針を定めて管理の枠組みを回し、その計画の中でリスクを洗い出して対策を選び、防ぎきれずに起きた事故は専門の体制で収束させ、外部の指針や機関の支援がその全体を外から補います。

2. 配下の論点の案内

• ISMS・方針・人的/物理的対策: 情報セキュリティの特性とISMSの回し方、方針の文書、日々の利用に掛ける人的・物理的な決まりを受け持つ論点で、リスクの評価や事故への対応はこの平時の枠組みの上に置かれます。ITパスポートには対策や事故の例を特性やPDCAの段階に当てはめる問題があり、応用情報技術者の午前ではJIS Q 27000が定める特性の定義と名前の対応が問われています。

• 情報セキュリティリスクアセスメント・リスク対応: 脅威と脆弱性を分けてリスクの大きさを見積もり、どう手を打つかを選ぶまでが、ISMSの計画の中に置かれています。身近な対策をリスク対応のどの種類に入れるかを選ぶ問題がITパスポートにあり、高度試験の午前IIの問いは、JIS規格の用語の記述からプロセスの正しい定義を選ぶものや、対策後の年間発生確率を比べる計算です。

• インシデント対応・CSIRT・フォレンジックス: 平時の管理策で防ぎきれなかったインシデントを、CSIRTなどの組織が受け付けて収束させるまでの体制と段取りです。応用情報技術者の午前には社内に置かれた複数の対応機能のうちどれが受け持つかを選ぶ問題が、高度試験の午前IIには手順の進む順序や、揮発性の観点から証拠を保全する順序を選ぶ問題があります。

• セキュリティ関連機関・評価認証制度: ほかの論点が組織の内側の取組なのに対し、組織の外に用意された相談の窓口や指針、評価・認証の仕組みの側にある論点で、名前と役割の対応が問いの軸になります。ITパスポートの問題はJ-CRATやSECURITY ACTIONについて適切な記述を選ぶもので、情報処理安全確保支援士の午前IIになると、ISMAPやISMAP-LIU、CRYPTREC、NOTICEの記述の正誤まで見分けさせています。

3. 学習の順序の提案

ISMS・方針・人的/物理的対策で学ぶ特性の見分け方とPDCAの枠組みは、ほかの論点の問題にもそのまま持ち込まれます。情報セキュリティリスクアセスメント・リスク対応はその枠組みのうち計画の部分を細かく見る論点なので二番目に置き、インシデント対応・CSIRT・フォレンジックスで事故が起きたあとの体制を学んでから、セキュリティ関連機関・評価認証制度で組織の外の機関や制度を名前ごとに確かめる順が、組織の内側から外側へ向かう並びになります。

午後の大問では、サプライチェーンやテレワークの環境で起きたマルウェア感染や不正アクセスを技術的に調べたうえで規程・権限・対応体制を見直す事例が、応用情報技術者と情報処理安全確保支援士で出ており、情報処理安全確保支援士にはリスクの洗い出しから対応策の検討までを一つの事例で通す大問もあります。

運用や監査の立場から読む大問もあり、ITサービスマネージャではログ管理の導入やバックアップを使った復旧の手順が、システム監査技術者ではクレジットカード情報の保護やサイバーセキュリティの管理態勢を確かめる監査の事例が題材になっています。

4. 分野をまたいで間違えやすいところ

JPCERTコーディネーションセンターの名前は、インシデント対応・CSIRT・フォレンジックスとセキュリティ関連機関・評価認証制度のどちらの問題にも出てきます。同センターが出したCSIRTガイドやインシデントハンドリングマニュアルを出典に、CSIRTの類型やハンドリングの手順を選ぶ問題は前者に入り、同センターという組織そのものの説明や、脆弱性情報の取扱いで製品開発者とどうやり取りするかを選ぶ問題は後者に入ります。CSIRTガイドの類型には組織の外の相手に向けて活動するものも含まれるので、論点の境目は、組織の内か外かではなく、問題が手順や類型を問うか、機関そのものの役割を問うかにあります。

クラウドの評価・認証制度を問う問題には、セキュリティ関連機関・評価認証制度と、クラウド・仮想化の分野のクラウドサービスの利用・統制の論点の両方に入るものがあります。ISMSクラウドセキュリティ認証やISMAPは、どの規格や基準を物差しにして誰が確かめる制度かという評価の仕組みの側から問われ、仮想化の方式やサービス形態ごとの責任の分け方は、クラウド・仮想化の側で学びます。

管理策の文書やISMSの要求事項という守る側の決まりは、運用の状況から監査人が報告書に載せる不備を選ぶ問題の物差しにもなり、こうした問題はこの分野の問題であると同時に、システム監査の分野の問題でもあります。監査の分野で学ぶのは、その決まりに照らして監査人がどの証拠をどう確かめるかという手続の側です。

CRYPTRECや暗号リストの問題には、セキュリティ関連機関・評価認証制度と、セキュリティ技術の分野の暗号方式の論点のどちらにも入るものがあります。この分野の側では、どの機関がどんな目的で暗号を選んでリストに分けているかという制度を読み、個々の暗号アルゴリズムがどう動いて何を守るかは、セキュリティ技術の分野の内容です。