情報セキュリティの制度
このノートの問いがそのまま復習カードになり、忘れかけたころに出題されます。
シラバス案 Ver.0.1 の小分類 6-24-7「情報セキュリティの制度」（大分類 6：セキュリティ／中分類 24：情報セキュリティマネジメント）。
2026-09-26 にシラバス本文と突合済み。
中分類 24 の小分類 5・6 はシラバスに無い番号です（欠番）。
0. 何を押さえるか
2 つに分かれます。組織の中の体制と、国や業界の制度・基準です。
組織の中の体制は、平時か有事かで見分けてください。
| いつ働くか | 役割 | |
|---|---|---|
| 情報セキュリティ委員会 | 平時 | 方針を決める |
| SOC | 常時 | 見張る（監視・検知） |
| CSIRT | 有事 | 事故に対応する |
| サイバーレスキュー隊（J-CRAT） | 有事 | 被害を受けた組織を外から助ける（IPA） |
制度・基準は、誰に向けたものかで見分けます。
| 制度・基準 | 誰に向けたものか |
|---|---|
| コンピュータウイルス／不正アクセス届出制度 | 被害を受けた組織・個人（IPA へ届け出る） |
| コンピュータウイルス／不正アクセス対策基準 | 対策をとる組織・個人（届出制度の根拠でもある） |
| ISMAP | 政府が使うクラウドサービス |
| SECURITY ACTION | 中小企業（自己宣言） |
| サイバーセキュリティ経営ガイドライン | 経営者 |
| 中小企業の情報セキュリティ対策ガイドライン | 中小企業 |
| PCI DSS | クレジットカード情報を扱う事業者 |
1. 情報セキュリティに関する組織・機関
根拠: シラバス 6-24-7
情報セキュリティ委員会・CSIRT・SOC の違いは？
| 役割 | |
|---|---|
| 情報セキュリティ委員会 | 情報セキュリティの方針を決め、全社の取組みを統括する（平時の意思決定） |
| CSIRT（シーサート） | インシデントが起きたときに対応する専門チーム |
| SOC（Security Operation Center） | ネットワークや機器を常時監視し、攻撃の兆候を検知・分析する |
決めるのが委員会、見張るのが SOC、対応するのが CSIRT。
CSIRT は、インシデントのときに何をするか？
CSIRT（Computer Security Incident Response Team）
- 報告を受け付ける窓口になる
- 被害を調べ、封じ込め・復旧を指揮する
- 経営層や外部（他組織の CSIRT、関係機関）と連絡・調整する
- 再発防止策をまとめる
「事故が起きたら、まずどこに言えばよいか」が決まっていることに価値がある。
サイバーレスキュー隊（J-CRAT）とは？
IPA が設けている、標的型サイバー攻撃の被害を受けた組織を支援する活動
- 相談を受け付け、被害の状況を分析する
- 被害の拡大を防ぎ、対応の方法を助言する
組織の中の CSIRT に対し、J-CRAT は外から駆けつける側。
自力で対応するのが難しい組織を助ける。
2. 届出制度と対策基準
根拠: シラバス 6-24-7
コンピュータ不正アクセス届出制度とコンピュータウイルス届出制度とは？
| 制度 | 何を届け出るか |
|---|---|
| コンピュータ不正アクセス届出制度 | 不正アクセスの被害 |
| コンピュータウイルス届出制度 | コンピュータウイルスの発見・感染の被害 |
届出先は IPA（情報処理推進機構）。
経済産業省の告示（対策基準）に基づき、IPA が届出を受け付けている。
目的は、被害の情報を集めて分析し、対策として広く共有すること。
被害の拡大と再発を防ぐ。
コンピュータウイルス対策基準とコンピュータ不正アクセス対策基準とは？
| 基準 | 何を定めているか |
|---|---|
| コンピュータウイルス対策基準 | コンピュータウイルスの感染・被害の予防と、発見時の対処の指針 |
| コンピュータ不正アクセス対策基準 | 不正アクセスによる被害の予防、発見と復旧、拡大と再発の防止の指針 |
どちらも経済産業省（当時は通商産業省）が告示した基準。
被害を受けたら IPA に届け出ることも、この基準の中で求めている。
3. 国や業界の制度・ガイドライン
根拠: シラバス 6-24-7
ISMAP とは？
ISMAP（政府情報システムのためのセキュリティ評価制度）
政府が使うクラウドサービスについて、
セキュリティの要求を満たしているかを監査で評価し、あらかじめ登録しておく制度。
政府機関は、原則として登録されたサービスの中からクラウドサービスを選ぶ。
各省庁がばらばらに安全性を確かめる手間が省ける。
SECURITY ACTION とは？ 一つ星と二つ星の違いは？
中小企業などが、情報セキュリティ対策に取り組むことを自己宣言する制度（IPA）
| 宣言の内容 | |
|---|---|
| 一つ星 | 「情報セキュリティ 6 か条」に取り組むことを宣言する |
| 二つ星 | 自社診断で現状を把握し、情報セキュリティ基本方針を定めて外部に公開したことを宣言する |
審査を受けて登録される ISMAP と違い、自分で宣言するのが特徴。
取組みの第一歩として、取引先に姿勢を示せる。
ISMAP と SECURITY ACTION の違いは？
| 対象 | どう認められるか | |
|---|---|---|
| ISMAP | 政府が使うクラウドサービス | 監査による評価を経て登録 |
| SECURITY ACTION | 中小企業などの取組み | 自己宣言 |
審査を経るのが ISMAP、自分で宣言するのが SECURITY ACTION——
厳格さも対象も違う。
サイバーセキュリティ経営ガイドラインと、中小企業の情報セキュリティ対策ガイドラインの違いは？
| 誰に向けて | 何を示すか | |
|---|---|---|
| サイバーセキュリティ経営ガイドライン | 経営者（IT の利活用が経営に欠かせない企業） | 経営者が認識すべき原則と、担当幹部に指示すべき重要項目 |
| 中小企業の情報セキュリティ対策ガイドライン | 中小企業（経営者と実務担当者） | すぐに始められる実践的な対策の進め方 |
前者は経済産業省と IPA、後者は IPA が公表している。
サイバーセキュリティは技術部門任せにせず、経営の問題として扱う、
という立場は両方に共通する。
PCI DSS とは？
クレジットカード情報を扱う事業者に向けた、国際的なセキュリティ基準
国際的なカードブランドが共同で設立した団体が定めている。
カード情報の保護、アクセス制御、暗号化、監視などを求める。
法律ではなく業界の基準だが、
カード決済を扱うための条件として、事実上守ることが求められる。