システム監査技術者試験 令和5年度 秋期 午前II 問18

【正解】イ

J-CSIPは、サイバー情報共有イニシアティブの略称です。標的型攻撃などによって参加組織が検知した不審なメール、マルウェア、通信先などの情報をIPAに集約し、分析した結果や有用な情報を参加組織間で共有します。一つの組織で得られた攻撃の兆候を他の組織の防御にも役立て、巧妙で高度なサイバー攻撃を早期に発見し、被害の拡大を防止する取組なので、イが正解です。

アの暗号技術を調査して電子政府の調達で参照する暗号リストを公表する取組は誤りです。これはCRYPTRECの説明です。CRYPTRECは暗号技術を評価し、電子政府推奨暗号リストなどを整備しています。

ウの制御システムにおけるセキュリティマネジメントシステムの認証制度は誤りです。これはCSMS適合性評価制度の説明です。制御システムを対象としたセキュリティ管理の仕組みが規格に適合しているかを認証します。

エの脆弱性関連情報の発見から公表までの対処プロセスは誤りです。これはソフトウェア製品やWebサイトの脆弱性を届け出て、関係者間で調整しながら公表や修正につなげる情報セキュリティ早期警戒パートナーシップなどに関する説明です。

【ポイント】 J-CSIPの中心は、組織間におけるサイバー攻撃情報の集約、分析、共有です。 CRYPTRECは暗号技術、CSMSは制御システム、脆弱性届出制度は脆弱性情報の調整と区別してください。