【ITパスポート練習問題 6.3対応】(5) 各種の基準・ガイドライン

【解説】

正解: 1 経営層がサイバーセキュリティの重要性を認識すること

この問題は、経済産業省とIPA（情報処理推進機構）が策定した「サイバーセキュリティ経営ガイドライン」の基本的なスタンスと目的を理解しているかを確認するものです。かつてはIT部門の問題とされがちだったセキュリティ対策を、経営課題として捉え直すことが重要視されています。

正解は1の「経営層がサイバーセキュリティの重要性を認識すること」です。サイバー攻撃による被害は、金銭的損失や信用の失墜など、企業の存続に関わる重大なリスクとなります。そのため、経営者自身がリーダーシップを取り、組織全体で対策を進める指針を示すことがこのガイドラインの主な目的です。

選択肢2の「従業員の福利厚生を向上させること」や、選択肢3の「製品の品質を保証すること」は、企業経営における重要な要素ではありますが、サイバーセキュリティ経営ガイドラインが目的とする「情報資産の保護と事業継続」とは直接関係しません。

【解説】

正解: 2 製品のデザイン改良

この問題は、サイバーセキュリティ経営ガイドラインが推奨する「重要10項目」などの取り組み内容と、一般的な製品開発活動を区別できるかを確認するものです。

サイバーセキュリティ経営ガイドラインでは、体制の構築、リスクの把握、対策の実践などが求められます。選択肢2の「製品のデザイン改良」は、製品の見た目や使い勝手を良くするための活動であり、セキュリティリスクへの対策ではないため、ガイドラインの内容としては不適切です。

選択肢1の「従業員の教育・訓練の実施」は人的対策として、選択肢3の「リスク評価の実施」はリスクベースのアプローチとして、いずれもガイドラインに含まれる重要な取り組みです。

【解説】

正解: 2 リーダーシップを発揮し、組織全体のセキュリティ対策を推進すること

この問題は、セキュリティ対策における「経営者（CISO等を含む）」と「実務担当者」の役割分担、特に経営者が果たすべき責任について正しく理解しているかを確認するものです。

正解は2の「リーダーシップを発揮し、組織全体のセキュリティ対策を推進すること」です。経営者は、セキュリティに対する基本方針（ポリシー）を決定し、必要な予算や人員などのリソースを配分する責任を持ちます。現場任せにせず、組織のトップとして方向性を示すことが求められます。

選択肢1の「経営者自らが全てのセキュリティ対策を実施すること」は現実的ではありません。実務は専門の担当部署（CISOやIT部門）が行います。選択肢3の「セキュリティ対策のコストを最小限に抑えること」については、コスト意識は必要ですが、必要な投資を削ってリスクを高めることは本末転倒であり、適切な投資判断を行うことこそが経営者の役割です。

【解説】

正解: 1 中小企業の情報漏洩リスクを最小限に抑えること

この問題は、IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」が、どのような課題解決を目指しているかを理解しているかを確認するものです。

正解は1の「中小企業の情報漏洩リスクを最小限に抑えること」です。大企業に比べてリソースが不足しがちな中小企業でも、無理なく効果的な対策が打てるように具体的な手順を示し、情報の漏洩やウイルス感染などの事故を防ぐことを目的としています。

選択肢2の「中小企業の製品開発を支援すること」や、選択肢3の「中小企業の市場拡大を促進すること」は、事業成長のための支援策であり、情報セキュリティ対策ガイドラインの直接的な目的とは異なります。

【解説】

正解: 3 新商品のマーケティング戦略の策定

この問題は、情報セキュリティ対策として実施すべき事項と、通常の事業活動を区別できるかを問うものです。

情報セキュリティ対策ガイドラインは、情報を守るための手引きです。したがって、選択肢3の「新商品のマーケティング戦略の策定」のような、売上を伸ばすための販売戦略に関する活動は含まれません。

選択肢1の「アクセス制御の強化」（ID・パスワード管理など）や、選択肢2の「ウイルス対策ソフトの導入」は、ガイドラインの中でも特に基本的かつ重要な対策として推奨されています。

【解説】

正解: 1 定期的なバックアップの実施

この問題は、セキュリティ対策の基本となる「情報セキュリティ5か条」などに含まれる、重要かつ具体的なアクションを理解しているかを確認するものです。

正解は1の「定期的なバックアップの実施」です。ランサムウェアによるデータの暗号化や、機器の故障、災害などのトラブルが発生した際に、業務を復旧させるための最後の砦として、バックアップは極めて重要です。

選択肢2の「市場分析の実施」や、選択肢3の「人事評価制度の改定」は、経営管理やマーケティングの領域であり、セキュリティ対策の基本項目ではありません。

【解説】

正解: 1 情報資産の機密性、完全性、可用性を保護すること

この問題は、組織が情報セキュリティを管理するための統一的な基準である「情報セキュリティ管理基準」の根本的な目的（情報セキュリティの3要素）を理解しているかを確認するものです。

正解は1の「情報資産の機密性、完全性、可用性を保護すること」です。この基準は、組織が持つ情報資産を「漏洩（機密性）」「改ざん（完全性）」「利用停止（可用性）」のリスクから守り、適切に管理するためのルールや枠組みを提供します。

選択肢2の「製品の品質向上を図ること」は品質管理基準（ISO 9001など）の領域であり、選択肢3の「従業員の福利厚生を改善すること」は人事労務の領域です。

【解説】

正解: 3 新商品のマーケティング戦略の策定

この問題は、情報セキュリティマネジメントシステム（ISMS）などで用いられる管理基準の適用範囲を理解しているかを問うものです。

情報セキュリティ管理基準は、情報を守るための管理策を定めたものです。選択肢3の「新商品のマーケティング戦略の策定」は、企業の営業活動に関する戦略立案であり、セキュリティ管理の基準には含まれません。

選択肢1の「リスクマネジメントの実施」や、選択肢2の「セキュリティポリシーの策定」は、組織が体系的にセキュリティを確保するために必須となる管理プロセスであり、基準の中心的な内容です。

【解説】

正解: 1 監査ログの管理

この問題は、情報セキュリティ管理基準において、事後の追跡や不正の検知のために推奨される具体的な技術的管理策を理解しているかを確認するものです。

正解は1の「監査ログの管理」です。誰がいつどのデータにアクセスしたかという記録（ログ）を取得・保管することは、不正アクセスの発見や、事故が起きた際の原因究明（責任追跡性の確保）のために不可欠な対策です。

選択肢2の「製品デザインの改良」や、選択肢3の「顧客満足度の向上」は、製品開発やCS向上のための施策であり、セキュリティ管理基準における対策記述ではありません。

【解説】

正解: 2 システム全体の信頼性と安全性を確保すること

この問題は、経済産業省が策定した「サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）」の目的と背景にある概念（Society 5.0など）を理解しているかを確認するものです。

正解は2の「システム全体の信頼性と安全性を確保すること」です。サイバー空間（デジタル）とフィジカル空間（現実世界）が高度に融合したシステムにおいて、データの改ざんが現実に物理的な被害をもたらすリスクに対応し、サプライチェーン全体での信頼性（Trustworthiness）を確保することを目的としています。

選択肢1の「製品の市場競争力を高めること」や、選択肢3の「従業員の満足度を向上させること」は、結果として得られる可能性はありますが、フレームワーク策定の直接的な目的（新たなセキュリティリスクへの対応）ではありません。

【解説】

正解: 3 製品デザインの改良

この問題は、CPSF（サイバー・フィジカル・セキュリティ対策フレームワーク）が扱うセキュリティ領域と、一般的な製品開発領域を区別できるかを確認するものです。

CPSFは、産業機器やIoTシステムなどのセキュリティリスクに対応するための枠組みです。選択肢3の「製品デザインの改良」は、外観や使いやすさの向上を目的とした活動であり、セキュリティ対策のフレームワークには含まれません。

選択肢1の「脆弱性の検出と修正」や、選択肢2の「インシデント対応の手順」は、サイバー・フィジカルシステムの安全性を維持するために必須の活動として定義されています。

【解説】

正解: 1 リスク評価と管理

この問題は、セキュリティ対策の基礎となる「リスクベースアプローチ」が、CPSFにおいても重要であることを理解しているかを確認するものです。

正解は1の「リスク評価と管理」です。守るべき資産とそれに対する脅威を特定し、どの程度のリスクがあるかを評価した上で対策を講じることは、どのようなセキュリティフレームワークにおいても基本となる活動です。

選択肢2の「市場分析の実施」や、選択肢3の「財務計画の策定」は、経営戦略や財務活動の一部であり、セキュリティ対策フレームワークの実施項目ではありません。

【解説】

正解: 1 IoTデバイスのセキュリティを確保すること

この問題は、急速に普及するIoT機器（インターネットに接続される家電やセンサーなど）に特化したセキュリティガイドラインの目的を理解しているかを確認するものです。

正解は1の「IoTデバイスのセキュリティを確保すること」です。IoT機器はPCなどに比べて計算能力が低く、一度設置されると長期間放置されがちであるなど特有の課題があります。これらがサイバー攻撃の踏み台にされないよう、開発や運用における指針を示すことが目的です。

選択肢2の「IoTデバイスの市場競争力を向上させること」や、選択肢3の「IoTデバイスの製造コストを削減すること」は、メーカーの事業目標ではありますが、セキュリティガイドラインの主眼ではありません。

【解説】

正解: 3 製品のデザイン改良

この問題は、IoTセキュリティガイドラインが求める技術的要件と、製品の意匠（デザイン）に関する要素を区別できるかを問うものです。

ガイドラインは、機器が乗っ取られたり情報が盗まれたりしないようにするための要件を定めています。したがって、選択肢3の「製品のデザイン改良」のような見た目や形状に関する事項は、セキュリティ対策として不適切です。

選択肢1の「データの暗号化」は通信内容の保護として、選択肢2の「ネットワークセキュリティの強化」は不正アクセスの防止として、IoT機器において極めて重要な対策です。

【解説】

正解: 1 定期的なアップデートとパッチの適用

この問題は、IoT機器のライフサイクルにおけるセキュリティ対策として、特に「出荷後」の運用における重要事項を理解しているかを確認するものです。

正解は1の「定期的なアップデートとパッチの適用」です。新たな脆弱性（セキュリティホール）が発見された場合、それを修正するためのプログラム（パッチ）を適用できる仕組みを持たせ、実際に更新を行うことが、IoT機器を安全に使い続けるために必須です。

選択肢2の「製品の市場分析」や、選択肢3の「顧客サービスの向上」は、マーケティングやサポート品質の話であり、セキュリティ対策そのものではありません。

【解説】

正解: 1 クレジットカード情報の保護

この問題は、クレジットカード業界のセキュリティ基準である「PCI DSS（Payment Card Industry Data Security Standard）」の目的を正しく理解しているかを確認するものです。

正解は1の「クレジットカード情報の保護」です。PCI DSSは、国際的なクレジットカードブランド5社が共同で策定した基準であり、加盟店やサービスプロバイダがカード会員データを安全に取り扱うための厳格な要件を定めています。

選択肢2の「クレジットカードの市場競争力向上」や、選択肢3の「クレジットカードの発行コスト削減」は、ビジネス上の目標ではありますが、PCI DSSというセキュリティ基準の目的ではありません。

【解説】

正解: 3 製品のデザイン改良

この問題は、PCI DSSが定める12の要件などの具体的なセキュリティ対策内容と、無関係な項目を識別できるかを確認するものです。

PCI DSSはシステムや運用のセキュリティ要件を定めたものです。選択肢3の「製品のデザイン改良」は、カードのデザインや決済端末の形状などの意匠に関するものであり、データ保護の基準であるPCI DSSの内容には含まれません。

選択肢1の「データの暗号化」は保存データや伝送データの保護として、選択肢2の「ネットワークの監視とテスト」は脆弱性の発見や攻撃検知として、PCI DSSで明確に求められている要件です。

【解説】

正解: 2 アクセス制御の強化

この問題は、PCI DSSにおける重要な要件の一つである「アクセス制御（Need-to-Knowの原則）」を理解しているかを確認するものです。

正解は2の「アクセス制御の強化」です。クレジットカード情報などの機密データには、業務上どうしても必要な担当者だけがアクセスできるように制限し、個別のIDを割り当てて管理することが強く求められています。

選択肢1の「市場分析の実施」や、選択肢3の「人事評価制度の改定」は、セキュリティ基準であるPCI DSSの要件とは関係がありません。