情報セキュリティ管理
このノートの問いがそのまま復習カードになり、忘れかけたころに出題されます。
シラバス Ver.6.5 の小分類 62「情報セキュリティ管理」（大分類 9：技術要素／中分類 23：セキュリティ）。
2026-08-05 にシラバス本文と突合済み。
0. 何を押さえるか
組織としてどう守るかの話です。技術ではなく仕組みが対象になります。
最頻出は情報セキュリティの 3 要素です。
| 要素 | 何を守るか | 破られると |
|---|---|---|
| 機密性 | 権限のない人に見せない | 漏えい |
| 完全性 | 内容が正確で改ざんされていない | 改ざん |
| 可用性 | 使いたいときに使える | 停止・サービス妨害 |
この 3 つは頭文字を取って CIA と呼ばれます。
さらに 4 つ（真正性・責任追跡性・否認防止・信頼性）を加えた 7 要素として問われます。
もう 1 つはリスク対応の 4 分類で、
プロジェクトマネジメント のリスク対応と名前が違う点に注意してください。
| ここでの名称 | 内容 |
|---|---|
| リスク回避 | 原因を取り除く |
| リスク共有（リスク移転・リスク分散） | 保険や委託で分担する |
| リスク保有 | 対策せず受け入れる |
| （リスク低減） | 発生確率や影響を減らす |
1. 情報セキュリティの要素
根拠: シラバス 9-23-62
情報セキュリティの 3 要素とは？
| 要素 | 意味 |
|---|---|
| 機密性 | 許可された者だけがアクセスできる |
| 完全性 | 情報が正確で、改ざんされていない |
| 可用性 | 必要なときに利用できる |
頭文字からCIA と呼ばれる。
サービス妨害攻撃（DoS）は可用性を狙う、というように
攻撃と要素を結びつけて問われる。
情報セキュリティの 7 要素のうち、3 要素以外の 4 つは？
| 要素 | 意味 |
|---|---|
| 真正性 | 本人・本物であることが確かめられる |
| 責任追跡性 | 誰が何をしたかを後から追える（ログ） |
| 否認防止 | 「やっていない」と後から否定できないようにする |
| 信頼性 | 意図したとおりに動作する |
デジタル署名は真正性と否認防止を支える技術、
というように対策と結びつけて覚える。
2. リスクへの対応
根拠: シラバス 9-23-62
リスクアセスメントの 3 段階は？
リスク特定 → リスク分析 → リスク評価
| 段階 | 何をするか |
|---|---|
| リスク特定 | どんなリスクがあるかを洗い出す |
| リスク分析 | 発生確率と影響の大きさを見積もる |
| リスク評価 | 対応が必要かどうかを判断する |
対応そのものは含まない——評価するところまでがアセスメント。
リスク対応の分類は？
| 何をするか | |
|---|---|
| リスク回避 | リスクの原因となる活動をやめる |
| リスク共有（リスク移転・リスク分散） | 保険や外部委託で他者と分担する |
| リスク保有 | 対策せず、受け入れる（影響が小さいとき） |
サイバー保険はリスク共有の代表例で、
事故時の調査費用・賠償・復旧費用を補償する。
情報セキュリティリスクは、
脅威が脆弱性を突いて情報資産に影響を与える可能性として捉える。
リスクコミュニケーションとは？
リスクについての情報を、関係者の間で共有し対話すること
経営層・従業員・取引先・顧客との間で、
どんなリスクがあり、どこまで対策しているかを共有する。
一方的な通知ではなく双方向のやり取りである点が要点で、
事故が起きたときの信頼にも関わる。
3. 組織としての備え
根拠: シラバス 9-23-62
情報セキュリティポリシーとプライバシーポリシーの違いは？
| 何を定めるか | |
|---|---|
| 情報セキュリティポリシー（情報セキュリティ方針） | 組織全体の情報を守る方針と規程 |
| プライバシーポリシー（個人情報保護方針） | 個人情報の取扱いに関する方針。対外的に公表する |
情報セキュリティポリシーは、
基本方針・対策基準・実施手順の 3 階層で構成されるのが一般的。
継続的改善（PDCA など）によって見直し続ける。
安全管理措置の 4 種類とは？
個人情報保護法が事業者に求める措置。
| 何をするか | |
|---|---|
| 組織的 | 責任者の設置、規程の整備、報告体制 |
| 人的 | 従業者への教育、契約による義務付け |
| 物理的 | 施錠、入退室管理、機器の盗難防止 |
| 技術的 | アクセス制御、暗号化、ログの取得 |
技術だけでは足りないというのがこの分類の主張。
情報セキュリティ委員会・CSIRT・SOC の違いは？
| 役割 | |
|---|---|
| 情報セキュリティ委員会 | 方針を決め、全社の取組を統括する（平時の意思決定） |
| CSIRT | インシデント発生時に対応する専門チーム |
| SOC（Security Operation Center） | 常時監視し、攻撃の兆候を検知する |
決めるのが委員会、見張るのが SOC、対応するのが CSIRT。
情報セキュリティインシデントとは、
情報の漏えいや停止など、セキュリティを脅かす事象のこと。
4. 制度とガイドライン
根拠: シラバス 9-23-62
IPA が受け付ける 3 つの届出制度とは？
| 制度 | 何を届け出るか |
|---|---|
| コンピュータ不正アクセス届出制度 | 不正アクセスの被害 |
| コンピュータウイルス届出制度 | ウイルスの発見・被害 |
| ソフトウェア等の脆弱性関連情報に関する届出制度 | 発見した脆弱性 |
被害情報を集約して、対策の共有につなげるのが目的。
脆弱性は公表前に開発者へ伝えられ、修正の時間が確保される。
J-CSIP と J-CRAT の違いは？
| 何をするか | |
|---|---|
| J-CSIP（サイバー情報共有イニシアティブ） | 参加組織の間で攻撃情報を共有し、被害の拡大を防ぐ |
| サイバーレスキュー隊（J-CRAT） | 標的型攻撃の被害組織に対し、支援を行う |
共有するのが J-CSIP、駆けつけるのが J-CRAT。
ISMAP と SECURITY ACTION の違いは？
| 何か | |
|---|---|
| ISMAP（政府情報システムのためのセキュリティ評価制度） | 政府が調達するクラウドサービスの安全性を評価・登録する制度 |
| SECURITY ACTION | 中小企業が情報セキュリティ対策に取り組むことを自己宣言する制度 |
ISMAP は審査による登録、SECURITY ACTION は自己宣言——
厳格さが違う。対象も政府調達と中小企業で異なる。
セキュリティに関する代表的なガイドラインを挙げよ。
| ガイドライン | 対象 |
|---|---|
| サイバーセキュリティ経営ガイドライン | 経営者が認識すべき原則と、指示すべき重要項目 |
| 中小企業の情報セキュリティ対策ガイドライン | 中小企業向けの実践的な手引 |
| 情報セキュリティ管理基準 | 組織が実践すべき管理策の基準 |
| サイバー・フィジカル・セキュリティ対策フレームワーク | 現実空間とサイバー空間がつながる社会での対策 |
| IoTセキュリティガイドライン | IoT 機器・システムの設計から運用まで |
サイバーセキュリティ経営ガイドラインは「経営者向け」——
セキュリティが技術部門だけの話ではないという立場に立っている。
PCI DSS とは？
クレジットカード業界が定めた、カード情報を扱う事業者向けの
セキュリティ基準
カード番号の保護、アクセス制御、暗号化、監視などを要求する。
カード情報を扱うなら準拠が求められる業界基準で、
法律ではないが、取引の条件として事実上の強制力を持つ。